El 21 de octubre se hicieron públicos dos fallos de seguridad críticos en PHP, el lenguaje con el que funcionan la mayoría de webs del mundo, entre ellas casi todas las que usan WordPress. Se conocen como PHP2Shell y son de los más graves que se recuerdan en años.
En RiosecoWeb ya hemos actualizado todos nuestros servidores. Te contamos qué ha pasado, por qué es tan serio y cómo comprobar si tu web está protegida.
Qué es PHP2Shell
PHP es como el motor de tu web: funciona en el servidor y se encarga de que tu página se muestre cada vez que alguien la visita.
Los dos fallos (CVE-2026-109618 y CVE-2026-109619) permiten a un atacante ejecutar lo que quiera en el servidor sin necesidad de contraseña, solo enviando una petición a la web. Con eso podría cambiar el contenido, robar datos o usar el servidor para enviar spam o atacar a otros.
Su gravedad es de 9,2 sobre 10, y ya se detectaron intentos de aprovecharlos antes de que el fallo se hiciera público.
A quién afecta
A cualquier servidor que use PHP para servir webs, da igual el tipo de instalación o el panel que tenga. Por eso se habla de millones de webs afectadas.
Las versiones oficiales que corrigen el fallo son:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
¿Y si mi web usa PHP 8.1, 8.0, 7.4 o anterior?
El equipo de PHP solo ha publicado versiones nuevas para las ramas que todavía mantiene, de la 8.2 a la 8.5. Las versiones más antiguas llevan tiempo sin soporte oficial, así que no hay una «8.1.35» que descargar.
Pero eso no significa que estén desprotegidas. El propio equipo de PHP ha dejado publicada la corrección en su código para las ramas 7.4, 8.0 y 8.1, y la mayoría de los proveedores la han incorporado a sus paquetes:
Servidores Debian y Ubuntu que usan el repositorio de Ondřej Surý, el más habitual cuando un servidor tiene varias versiones de PHP a la vez (lo usan, por ejemplo, paneles como HestiaCP): parches para 8.1, 8.0, 7.4 e incluso versiones más antiguas, hasta la 5.6.
Ubuntu 22.04, con su PHP 8.1 de serie, y las versiones antiguas de Ubuntu con Ubuntu Pro.
Debian antiguos con soporte extendido: PHP 7.4, 7.3 y 7.0.
Red Hat, AlmaLinux y Rocky Linux: PHP 7.4, 8.0 y 8.1.
Paneles de hosting: cPanel, Plesk, DirectAdmin y CloudLinux (alt-php, desde la 5.2 hasta la 8.5).
Servicios de soporte extendido de pago, como TuxCare, para servidores muy antiguos.
Ojo con un detalle: en estos casos el número de versión no cambia. Una web con PHP 8.1.34 puede estar protegida o no según la fecha en que se instaló el paquete. Por eso no basta con mirar la versión: tienes que preguntar a tu proveedor si ha aplicado el parche de PHP2Shell y si ha reiniciado los servicios.
Y hay quien no lo va a parchear: algunas plataformas han anunciado que no habrá arreglo para sus PHP 8.0 y 8.1. Si tu web está en una de ellas, la única salida segura es actualizar a PHP 8.2 o superior. Ten en cuenta además que la propia 8.2 deja de recibir parches el 31 de diciembre de 2026, así que lo recomendable hoy es ir directamente a la 8.3 o la 8.4.
Cómo saber si tu web está protegida
Si tu web es un WordPress, puedes ver qué versión de PHP usa en Herramientas → Salud del sitio → Información → Servidor.
Si la versión es igual o superior a la de tu rama en la lista de versiones oficiales, estás protegido.
Si es inferior, o usas la 8.1 o anterior, pregunta a tu proveedor de hosting si ha aplicado el parche de PHP2Shell. En las versiones antiguas, el número no siempre cambia.
Un detalle importante: no basta con instalar la versión nueva. Hay que reiniciar los servicios de PHP del servidor, porque los procesos antiguos siguen siendo vulnerables mientras estén en marcha.
Qué hemos hecho en RiosecoWeb
En cuanto se publicó la solución, actualizamos PHP en todos nuestros servidores y reiniciamos los servicios. Las webs de nuestros clientes están protegidas y no tienen que hacer nada.
Es justo para esto para lo que existe el mantenimiento: que cuando sale un fallo así, alguien lo arregle esa misma mañana sin que tú tengas que enterarte.
¿Tu web está en otro proveedor y no sabes si está protegida?
Escríbenos y la revisamos contigo. Y si quieres olvidarte de estos sustos, en RiosecoWeb te ofrecemos hosting gestionado y mantenimiento WordPress con actualizaciones de seguridad incluidas.
Fuentes: experiencia propia de RiosecoWeb, Help Net Security, Digital Applied y TuxCare.