PHP2Shell: ¿tu web tiene la puerta abierta?
El 21 de octubre de 2026 se publicó el arreglo de dos fallos de PHP que permiten entrar en el servidor de una web sin contraseña. Afectan a casi todas las webs hechas con WordPress, PrestaShop o Joomla, y ya se están atacando. Comprueba la tuya en unos segundos.
Comprobado el 22 de octubre de 2026 con las fuentes oficiales que enlazamos al final.
¿Le afecta a tu web?
Escribe la dirección y miramos si usa PHP y qué versión anuncia. Sirve para la tuya y para la de tus proveedores.
Un día después del arreglo, 16 de las 23 webs valencianas que enseñan su versión seguían sin él
El 22 de octubre de 2026 pasamos este comprobador por 40 webs de negocios de Valencia y alrededores: reformas, climatización, clínicas, academias y tiendas. 36 usaban PHP y 23 enseñaban su versión. De esas, el 70 % no tenía el arreglo.
- Con el arreglo
- 7 de 23
- Una versión por detrás del arreglo
- 9 de 23
- En PHP 7.3 a 8.1, sin soporte
- 7 de 23
Las otras 13 webs con PHP no dicen su versión, así que pueden estar arregladas o no. Solo damos el recuento, sin nombres. En las ramas sin soporte, alguna podría tener el arreglo aplicado a mano por su proveedor.
¿Con qué está hecha tu web?
Si no puedes pasarla por el comprobador (una intranet, una web que bloquea las visitas automáticas), basta con saber con qué está hecha. PHP está detrás de casi el 70 % de las webs cuyo lenguaje se conoce, según W3Techs.
Usan PHP: hay que comprobarlo
- WordPress y WooCommerce
- PrestaShop
- Joomla y Drupal
- Magento y OpenCart
- Moodle (aulas virtuales)
- Casi cualquier web en un hosting con cPanel o Plesk
No usan PHP o no depende de ti
- Wix, Squarespace y Webflow
- Shopify
- Webs a medida en Next.js o Astro, como las que hacemos nosotros
- WordPress.com: usa PHP, pero el servidor lo actualiza la plataforma
PHP también va dentro de otros programas con acceso web: intranets, programas de gestión o paneles de equipos. La CISA avisa de que a veces ni se ve. Si tenéis algo así en la oficina, pregunta a quien lo instaló.
Qué versión de PHP lleva el arreglo
Afecta a todas las versiones desde la 5.4, de 2012. Estas son las primeras que lo traen arreglado:
| Si usas | Necesitas, como mínimo | Nota |
|---|---|---|
| PHP 8.5 | 8.5.12 | — |
| PHP 8.4 | 8.4.27 | — |
| PHP 8.3 | 8.3.36 | — |
| PHP 8.2 | 8.2.35 | Deja de recibir arreglos el 31 de diciembre de 2026. |
| PHP 8.1 y anteriores | Pasar a 8.3 o superior | Sin versión oficial. El equipo de PHP ha publicado el arreglo en código fuente para 7.4, 8.0 y 8.1, pero alguien tiene que compilarlo e instalarlo a mano. De 5.4 a 7.3, nada. |
Si el PHP es el de Ubuntu, Debian o Red Hat, el número no cambia al parchear: lo que cuenta es que el paquete esté actualizado con el aviso de seguridad de este mes de tu sistema.
Depende de quién tenga el servidor
Tu web está en un hosting
Es lo normal en una pyme. No tienes que tocar nada tú: escribe a tu proveedor, pregúntale si ya ha aplicado el arreglo y pídele la respuesta por escrito. El comprobador te da el mensaje listo para copiar.
El servidor es vuestro
Actualiza el paquete de PHP del sistema (o la imagen del contenedor) y reinicia PHP-FPM o Apache: hasta que se reinicia, sigue funcionando el código viejo. Comprueba la versión en la propia web, porque php -v puede mostrar otra instalación distinta de la que la sirve.
No se puede actualizar hoy
El proyecto PHP da medidas provisionales que no dejan el servidor a salvo, solo ponen las cosas más difíciles: desactivar session.upload_progress y quitar el límite de memoria por petición. Si es una versión sin soporte, lo prudente es aislarla o desconectarla hasta migrarla.
Si no tenía el arreglo, mira hacia atrás
Amazon vio el primer intento de ataque el 17 de octubre, antes del parche, y recomienda revisar desde esa fecha: procesos de PHP que abren una consola o descargan programas y errores 500 repetidos. Y, como en cualquier intrusión, usuarios administradores nuevos o ficheros que nadie ha subido.
De un hallazgo en agosto a los ataques de esta semana
Los dos fallos están en cómo PHP recoge la memoria cuando una petición falla. Un atacante puede provocar ese fallo a propósito y aprovechar los restos para ejecutar sus propias órdenes. No depende de cómo esté programada la web: hasta una página vacía sirve.
19 de agosto de 2026
Wiz encuentra el primer fallo
En dos días consiguen tomar el control de un WordPress y un Drupal recién instalados sin usuario ni contraseña. El 24 de agosto se lo comunican al equipo de PHP.
Wiz Research17 de octubre
Primer intento de ataque, antes de que fuera público
Amazon detecta en sus servidores trampa un intento de explotarlo cuatro días antes del anuncio. Por eso recomienda revisar lo ocurrido desde esa fecha, no desde el día del parche.
Resumen de Tenable20 de octubre
Se filtran los identificadores
Los números de los dos fallos empiezan a circular en foros y redes. PHP adelanta un día la publicación del arreglo, que estaba prevista para el 22.
21 de octubre, 16:00 en España
Sale el parche
PHP publica las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Ese mismo día Cloudflare ve los primeros ataques y Amazon, intentos de varios grupos distintos.
Aviso oficial de PHP
Lo hablamos con tu proveedor por ti
Muchas pymes no saben ni quién les aloja la web: la hizo alguien hace años y el hosting se renueva solo. Lo averiguamos, hablamos con quien toque y comprobamos que el arreglo está puesto. Si la web usa una versión de PHP sin soporte, te decimos qué cuesta ponerla al día.
Y si estás pensando en rehacerla: las webs que hacemos no usan PHP, así que fallos como este no les afectan.
Revisamos tu web hoy
Cuéntanos qué web tienes y te decimos en menos de 24 horas si está expuesta y qué hay que hacer. Sin compromiso.
Pedir la revisión¿Quieres entenderlo con calma? Lee la explicación en el blog.
Lo que más se pregunta sobre PHP2Shell
- ¿Qué es PHP2Shell?
- El nombre con el que se conocen dos fallos de PHP, el lenguaje con el que funcionan WordPress, PrestaShop, Joomla y la mayoría de webs de empresa: CVE-2026-109618 y CVE-2026-109619. Ambos tienen una gravedad de 9,2 sobre 10 y permiten a un atacante, sin usuario ni contraseña, ejecutar sus propias órdenes en el servidor de la web. El proyecto PHP publicó el arreglo el 21 de octubre de 2026.
- Tengo WordPress y los plugins al día. ¿Estoy a salvo?
- No necesariamente. El fallo no está en WordPress ni en los plugins, sino en PHP, el programa del servidor que los hace funcionar. Los investigadores que lo descubrieron tomaron el control de un WordPress recién instalado y actualizado. Lo que hay que actualizar es PHP, y eso normalmente lo hace tu proveedor de alojamiento, no tú.
- ¿Cómo sé qué versión de PHP tiene mi web?
- Si es WordPress, entra en el escritorio y ve a Herramientas → Salud del sitio → Información → Servidor: ahí sale la versión de PHP. En los paneles de hosting (cPanel, Plesk) suele estar en un apartado llamado «Versión de PHP». Pero ojo: si tu proveedor usa el PHP del sistema (Ubuntu, Debian, Red Hat), el número puede no cambiar al aplicar el arreglo. En ese caso, solo él puede confirmarlo.
- ¿Mi hosting no lo habrá actualizado ya?
- Puede, pero no lo des por hecho. En nuestra comprobación del 22 de octubre de 2026, de las 23 webs de negocios valencianos que enseñaban su versión, solo 7 tenían el arreglo. Y Qualys, que vigila 167 millones de instalaciones de PHP, solo vio parcheadas 199.000 en las primeras 12 horas. Pregunta y pide la respuesta por escrito.
- ¿Se está aprovechando ya?
- Sí. Amazon vio el primer intento de ataque el 17 de octubre, cuatro días antes de que se publicara el arreglo, y desde el 21 ve ataques de varios grupos distintos. Cloudflare y la empresa de seguridad watchTowr también los están viendo. La CISA, la agencia de ciberseguridad de Estados Unidos, decía el día 21 que aún no los había observado, pero pide parchear «de inmediato».
- Mi web usa PHP 7.4, 8.0 u 8.1. ¿Qué hago?
- Esas versiones ya no tienen soporte y no habrá versión oficial con el arreglo. El equipo de PHP ha publicado el cambio en código fuente para la 7.4, la 8.0 y la 8.1, pero alguien tiene que compilarlo e instalarlo a mano. Lo sensato es pasar a PHP 8.3 o 8.4. Mientras tanto, la CISA recomienda desconectar o aislar los sistemas que no se puedan actualizar.
- ¿Basta con tener Cloudflare o un cortafuegos?
- Ayuda, pero no basta. Cloudflare ha puesto reglas, también en su plan gratuito, que frenan los ataques conocidos, y lo llama una medida «provisional». Una variante nueva puede saltárselas. La única solución completa, según el propio proyecto PHP, es actualizar.
- ¿Me afecta si la web no la tengo yo, sino un proveedor?
- Si un proveedor tuyo tiene una web o un portal en PHP con tus datos (pedidos, facturas, tu área de cliente), el riesgo también es tuyo. Puedes pasar su dirección por el comprobador igual que la tuya.
Fuentes
- Aviso de seguridad oficial del proyecto PHP (21/10/2026)
- CVE-2026-109618 (GHSA-w8hw-w9fx-j79w)
- CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp)
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Wiz Research: PHP2Shell
- Tenable: preguntas frecuentes sobre php2shell
- Qualys: cómo encontrarlo, mitigarlo y parchearlo
Si sale otra versión con más arreglos o cambia algo de lo que contamos, actualizaremos esta página.