PHP2Shell: qué es, a quién afecta y cómo proteger tu web WordPress

Última revisión: 22 de octubre de 2026. La situación cambia cada pocas horas y actualizo este artículo cuando hay novedades.

¿Qué es PHP2Shell?

PHP2Shell son dos vulnerabilidades de PHP que se hicieron públicas el 21 de octubre de 2026. Las dos tienen la puntuación máxima que el propio proyecto PHP les ha dado: 9,2 sobre 10 en CVSS v4.0, es decir, críticas.

En cristiano: un atacante puede enviar a una web una petición preparada de forma especial y, si el servidor usa una versión de PHP sin corregir, conseguir que ese servidor ejecute órdenes suyas. No hace falta tener usuario ni contraseña, ni que tu WordPress o tus plugins estén desactualizados. El fallo está en PHP, no en tu web.

Los dos fallos: CVE-2026-109618 y CVE-2026-109619

Dato	CVE-2026-109618	CVE-2026-109619
Qué ocurre	PHP gestiona mal una petición cuando se queda sin memoria y deja datos corruptos	PHP conserva información de una petición anterior ya liberada y la vuelve a usar
Consecuencia	Ejecución remota de código sin autenticación	Ejecución remota de código sin autenticación
Gravedad	9,2 (crítica, CVSS v4.0)	9,2 (crítica, CVSS v4.0)
Aviso oficial	GHSA-w8hw-w9fx-j79w	GHSA-6wmf-4rv5-p3rp

El código se ejecuta con los permisos del proceso web, el mismo que sirve tu página. Con eso un atacante puede leer o modificar los archivos de tu web, incluido el wp-config.php con las claves de tu base de datos.

¿Afecta a mi web WordPress?

Si tu web usa PHP en una versión sin corregir, sí. WordPress siempre funciona sobre PHP, así que la pregunta real es qué versión de PHP tiene tu hosting y si ya la han actualizado a una corregida.

Esto no depende de que tengas el WordPress al día. Tienes que actualizar PHP, que normalmente se gestiona desde el hosting.

Versiones de PHP con parche

El proyecto PHP ha publicado estas versiones corregidas:

PHP 8.5: 8.5.12
PHP 8.4: 8.4.27
PHP 8.3: 8.3.36
PHP 8.2: 8.2.35

Los avisos oficiales indican como afectadas las versiones anteriores a esas, en cada rama.

Versiones sin parche oficial

El proyecto PHP no ha publicado actualizaciones para PHP 8.1 ni para ramas anteriores, porque ya están fuera de soporte. Para 7.4, 8.0 y 8.1 el equipo ha dejado parches mínimos en GitHub y algunos proveedores de soporte extendido ofrecen los suyos, pero no son versiones oficiales.

Si tu web sigue en PHP 8.1 o inferior, no des por hecho que está a salvo. Tienes que subir de versión o confirmar con tu hosting cómo la protege.

PHP 8.2 también se acerca al final: el proyecto ha indicado que dejará de recibir soporte el 31 de diciembre de 2026.

¿Hay explotación activa?

Cloudflare ha informado de intentos de ataque contra estas vulnerabilidades antes de que se publicaran los parches, y activó reglas de protección en su cortafuegos web (WAF). Es razonable asumir que ya hay atacantes buscando webs sin actualizar.

Los propios avisos oficiales identifican como más expuesta la configuración Apache con mod_php, donde hay una explotación demostrada. Otras formas de ejecutar PHP, como PHP-FPM o LiteSpeed, se consideran también expuestas, aunque en el análisis oficial no hay una prueba completa de explotación.

Cómo saber qué versión de PHP tiene tu web

Tienes tres caminos, de más fácil a más técnico:

Desde WordPress. Entra en Herramientas > Salud del sitio > Información > Servidor. Ahí aparece la versión de PHP.
Desde el panel de tu hosting. En cPanel, busca MultiPHP Manager o Seleccionar versión de PHP. En Plesk, entra en Ajustes de hosting. En otros paneles, busca «versión de PHP».
Preguntando a tu hosting. Si no tienes acceso o no te aclaras, escríbeles.

Un detalle importante: ver «PHP 8.3» en el panel no basta. Lo que importa es la versión completa (por ejemplo, 8.3.36). Si tu hosting no la muestra, pregúntales directamente.

Ojo: algunos proveedores, sobre todo los que usan paquetes de Linux, pueden aplicar el parche sin cambiar el número de versión. Si ves una versión más antigua que las de la lista, no la des por mala ni por buena: pide a tu hosting que te confirme por escrito que el parche está aplicado.

Qué hacer hoy para protegerte

1. Pide a tu hosting que confirme el parche

Escribe a tu proveedor con esta pregunta: «¿Mi plan ya usa una versión de PHP corregida frente a CVE-2026-109618 y CVE-2026-109619?». Lo normal es que los hostings parcheen ellos mismos, pero conviene tenerlo por escrito.

Si gestionas PHP tú desde el panel, cambiar de rama solo ayuda si el hosting ya ha instalado la versión corregida. Haz antes una copia de seguridad de tu web y comprueba después que todo carga bien.

2. Si no puedes actualizar ahora: mitigaciones parciales

Los avisos oficiales de PHP proponen medidas temporales. Las aplica quien administra el servidor, no se tocan desde WordPress:

Desactivar el seguimiento del progreso de subidas (session.upload_progress.enabled=0) y reiniciar los procesos de PHP.
Reducir el tamaño máximo de las peticiones (post_max_size).
Limitar el tamaño y la complejidad de las peticiones en el servidor web o en un proxy.

Estas medidas no cierran el fallo. El propio aviso de PHP afirma que actualizar a una versión corregida es la única mitigación completa.

3. Vigila señales de que ya te han atacado

Que un parche salga hoy no garantiza que nadie haya entrado antes. Revisa si en tu web aparecen:

usuarios de administrador que no has creado;
archivos PHP nuevos o modificados que no reconoces;
redirecciones raras o avisos de Google sobre tu sitio;
picos de uso de recursos en el hosting.

Si ves algo de esto, no pierdas tiempo: consulta la guía de WordPress hackeado o escríbeme.

Qué no hacer

No desactives plugins al azar. El problema no está en ellos y solo vas a romper tu web.
No ocultes errores esperando que baste. El aviso oficial lo dice: ocultar errores con display_errors o error_reporting no mitiga el fallo.
No confíes solo en un plugin de seguridad. Un plugin corre dentro de PHP, y este fallo está en PHP.
No lo dejes para después. Si tu web usa una versión sin corregir, cada día que pasa es un día más expuesta.

Fuentes oficiales

Todo lo anterior sale de estos documentos. Mira ahí cualquier novedad:

Cómo evitar quedarte atrás con PHP y WordPress

Este tipo de fallos pasan de vez en cuando. Lo que marca la diferencia es tener a alguien que mire la versión de PHP, actualice y compruebe que la web sigue funcionando sin que tengas que enterarte tú.

Eso es lo que incluye el mantenimiento web WordPress: actualizaciones, copias de seguridad, vigilancia de caídas y alguien que responde cuando algo falla. Sin permanencia, desde 39 €/mes.

Si no sabes en qué estado está tu web ahora mismo, empieza por ahí. En 48 horas te envío un informe con el estado de tu web y, cuando se puede comprobar desde fuera, si el software que usa tiene alguna vulnerabilidad activa conocida, como esta de PHP.

Pide tu auditoría web gratis

Preguntas frecuentes sobre PHP2Shell

¿Qué es PHP2Shell?

PHP2Shell es el nombre con el que se conocen dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, publicadas el 21 de octubre de 2026. Permiten ejecutar código en un servidor sin necesitar contraseña, y el proyecto PHP las puntúa con 9,2 sobre 10 en CVSS v4.0.

¿Mi web WordPress está en riesgo?

Lo está si tu hosting ejecuta una versión de PHP sin corregir. WordPress funciona sobre PHP, así que da igual que tengas WordPress y los plugins al día: lo que cuenta es la versión de PHP. Pregunta a tu hosting o míralo en Herramientas > Salud del sitio.

¿Qué versiones de PHP tienen el parche?

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los avisos oficiales de PHP señalan como afectadas las versiones anteriores a esas en cada rama. Si tu web usa una de esas ramas, comprueba que está en la versión completa corregida o superior, o que tu proveedor te confirme que aplica el parche con otra numeración.

¿Y si mi web usa PHP 8.1 o anterior?

PHP 8.1 y las ramas anteriores no tienen parche oficial del proyecto PHP, porque están fuera de soporte. Para 7.4, 8.0 y 8.1 hay parches mínimos en GitHub y algunos proveedores de soporte extendido ofrecen los suyos. Lo recomendable es subir de versión o confirmar con tu hosting cómo te protege.

¿Cómo sé qué versión de PHP tiene mi web?

Entra en el escritorio de WordPress y abre Herramientas > Salud del sitio > Información > Servidor. También puedes verla en el panel de tu hosting (en cPanel, MultiPHP Manager) o preguntársela a tu proveedor. Fíjate en la versión completa, por ejemplo 8.3.36 y no solo 8.3.

¿Tengo que hacer algo yo o lo hace mi hosting?

Depende de tu plan. En muchos hostings parchean ellos mismos el servidor, pero conviene pedírselo por escrito. Si gestionas la versión de PHP desde tu panel, cambiar de rama solo ayuda si el hosting ya ha instalado la versión corregida. Haz una copia de seguridad antes de cambiar nada.

¿Hay ya ataques reales?

Cloudflare ha informado de intentos de ataque contra estas vulnerabilidades antes de que se publicaran los parches y ha activado protecciones en su cortafuegos web. Es prudente asumir que hay atacantes buscando webs sin actualizar.

¿Basta con instalar un plugin de seguridad?

No. Un plugin de seguridad se ejecuta dentro de PHP, y el fallo está en PHP. Puede ayudar a detectar problemas, pero la solución es actualizar PHP a una versión corregida. Los propios avisos de PHP dicen que es la única mitigación completa.

¿Cómo sé si ya han entrado en mi web?

Busca administradores que no has creado, archivos PHP nuevos o modificados que no reconoces, redirecciones extrañas y avisos de Google sobre tu sitio. Si encuentras algo, escríbeme. Sergio Marín limpia webs hackeadas en 48 horas desde que tiene los accesos y responde en menos de 24 horas.

¿Puedes revisar si mi web está protegida?

Sí. Con la auditoría web gratuita te envío en 48 horas un informe con el estado de tu web y, cuando se puede comprobar desde fuera, si el software que usa tiene alguna vulnerabilidad activa conocida, como esta de PHP. La versión exacta de PHP no siempre se ve desde fuera, así que tu hosting es quien la confirma. Si quieres que alguien lo vigile cada mes, el mantenimiento web WordPress es sin permanencia, desde 39 €/mes.

Revisa tu web hoy

Pide la auditoría gratis y te envío el informe en 48 horas. Si prefieres escribirme, te respondo en menos de 24 horas.

Auditoría web gratis Escríbeme