PHP2Shell: qué hacer si tu web usa WordPress.

Qué ha pasado

PHP es el lenguaje que hay debajo de WordPress y de buena parte de las webs de pymes. El 20 de octubre, el equipo de PHP avisó de una actualización de seguridad crítica, y el 21 la publicó. Corrige dos fallos, conocidos como “PHP2Shell”:

• CVE-2026-109618: ejecución de código a través de un fallo en la gestión de la memoria.
• CVE-2026-109619: ejecución de código a través de datos que sobreviven de una petición a otra.

Lo que importa para un negocio: el fallo no está en un plugin ni en un tema, sino en PHP. No depende de lo bien o mal hecha que esté tu web: si funciona sobre una versión vulnerable, está expuesta.

Por qué es más grave de lo habitual

Lo normal es que primero se publique el arreglo y después se expliquen los detalles. Esta vez, antes del parche ya circulaban los identificadores de los fallos, un vídeo del ataque y código que dice explotarlos. El ataque funciona sin iniciar sesión, y Cloudflare dice estar viendo los primeros ataques.

Cuando un fallo así es público, los ataques se automatizan: se rastrean miles de webs a la vez buscando las que no se han actualizado.

Qué versiones lo arreglan

PHP 8.1 y anteriores ya no tienen soporte. Según Help Net Security, el equipo de PHP ha publicado parches mínimos para 7.4, 8.0 y 8.1, pero no llegarán solos a tu hosting: lo sensato es subir a una versión con soporte. Ten en cuenta que PHP 8.2 deja de tenerlo el 31 de diciembre de 2026.

Qué hacer hoy si tu web usa WordPress

No se arregla con el botón «Actualizar» de WordPress: el fallo está en PHP, en el servidor.

1. Mira tu versión de PHP. En WordPress: Herramientas → Salud del sitio → Información → Servidor. También aparece en el panel de tu hosting.
2. El número de versión no siempre lo dice todo. Si es 8.5.12, 8.4.27, 8.3.36, 8.2.35 o posterior, está corregido. Si es anterior, puede que también lo esté: distribuciones como Debian, Ubuntu o Red Hat aplican el arreglo sin cambiar el número. Por eso, pregunta a tu hosting: «¿Tenéis aplicados los parches de CVE-2026-109618 y CVE-2026-109619?».
3. Si estás en 8.1 o anterior, planifica hoy el salto a una versión con soporte. Antes, haz una copia de seguridad y comprueba que tu tema y tus plugins son compatibles.
4. Si tienes un servidor propio (VPS), actualiza PHP y reinicia PHP-FPM (o el servidor web). Si no lo reinicias, sigue funcionando la versión antigua.
5. Si pudieron entrar antes del parche, actualizar no basta. Revisa si hay usuarios administradores que no reconozcas y archivos modificados en los últimos días. Ante la duda, restaura una copia de seguridad anterior al 20 de octubre.
6. Vigila las próximas semanas el informe de seguridad de Google Search Console y cualquier página rara que aparezca indexada.

Una desarrolladora del núcleo de PHP ha dicho que la única mitigación es actualizar PHP.

Una web hackeada también es un problema de SEO

Una web comprometida no siempre se cae. A menudo sigue funcionando mientras, por detrás:

• Se inyecta contenido: enlaces o textos de spam (muchas veces de farmacia) dentro de tus páginas.
• Se crean páginas nuevas de spam en tu dominio, que redirigen a otros sitios.

Google lo detecta y lo muestra en el informe de problemas de seguridad de Search Console. Las páginas afectadas pueden salir con un aviso en los resultados de búsqueda o con una pantalla de advertencia en el navegador. Para un negocio local, eso significa perder clics, contactos y confianza justo donde te buscan.

Limpiar una web hackeada y recuperar la confianza lleva mucho más tiempo que mantenerla actualizada.

La lección: alguien tiene que mantener la web

Esta web está hecha con Astro y es estática: el servidor entrega páginas ya generadas, sin PHP ni base de datos. Este fallo no le afecta. Es una de las razones por las que la hice así, junto con la velocidad.

Eso no significa que WordPress sea mala opción. Para una tienda o un blog que actualiza un equipo, suele ser la adecuada. Pero una web en WordPress necesita que alguien vigile las versiones, los plugins y las copias de seguridad. El problema no es WordPress: es la web que se montó hace años y nadie ha vuelto a tocar.