Dos fallas graves en PHP («PHP2Shell»): ¿ya protegieron tu sitio?

PHP es como el motor de tu sitio web. No lo ves, pero cada vez que alguien abre una página o compra en tu tienda, ese motor trabaja en el servidor donde vive tu web. Con PHP funcionan WordPress, WooCommerce y la mayoría de los sitios de internet.

Esta semana se dieron a conocer dos fallas graves en ese motor. Te contamos en simple qué pasó, por qué te afecta y qué tienes que preguntar hoy.

¿Qué pasó?

El 20 de octubre se filtraron dos fallas en PHP, conocidas como PHP2Shell (sus nombres técnicos son CVE-2026-109618 y CVE-2026-109619). Están calificadas con 9,2 de 10, es decir, críticas: en ciertas condiciones, un desconocido desde internet podría hacer que el servidor obedezca sus órdenes sin necesitar ninguna contraseña. Los investigadores ya comprobaron que funciona contra sitios WordPress, y algunas empresas de seguridad reportan que ya hay intentos de ataque.

¿Qué podría hacer alguien que se aprovecha de esto?

• Cambiar el contenido de tu página o llenarla de publicidad engañosa.
• Robar datos de tus clientes, como nombres, correos o direcciones.
• Usar tu sitio para enviar spam o estafar a otras personas, y que Google o los correos terminen marcándote como sitio peligroso.

La buena noticia: el 21 de octubre PHP publicó un parche, una actualización que corrige las fallas. Pero un parche solo protege si alguien lo instala.

Lo más importante: pregunta si tu hosting o tu VPS ya aplicaron el parche

Que la corrección exista no significa que tu sitio ya esté protegido.

• Si tu sitio está en un hosting compartido (pagas un plan mensual o anual a una empresa de hosting), quien debe actualizar PHP es esa empresa. La mayoría lo hace rápido, pero no todas. Escríbeles y pregúntales directamente: «¿Ya aplicaron el parche de PHP para las vulnerabilidades CVE-2026-109618 y CVE-2026-109619?». Deberían responderte con un sí o un no claro.
• Si tu sitio está en un VPS o servidor propio, nadie lo actualiza por ti. Si no tienes a alguien a cargo, lo más probable es que siga expuesto. Averigua quién administra ese servidor y pídele que lo confirme hoy mismo.

Las versiones de PHP que ya vienen corregidas son la 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (o posteriores). Si tu proveedor te dice que usa una versión anterior, todavía no está protegido.

No es una excepción: mantener tu sitio actualizado es parte del trabajo

Estas dos fallas fueron noticia, pero cosas así pasan todo el tiempo y casi nunca llegan a los medios. Cada semana se corrigen errores de seguridad en WordPress, en los plugins y en los temas.

Un sitio sin actualizar es como una casa con una ventana rota: quizás nadie entre hoy, pero los programas automáticos que recorren internet buscando sitios vulnerables la van a encontrar tarde o temprano. Los atacantes no eligen tu sitio porque seas importante, sino porque está abierto.

Un dato que lo muestra claro: los sitios que todavía usan PHP 7 o PHP 5 no tienen parche oficial para estas fallas. Nadie las va a corregir. La única salida es actualizar el sitio a una versión moderna, y eso a veces exige revisar plugins y temas que ya no son compatibles.

Mantener tu sitio al día significa:

• Actualizar WordPress, los plugins y el tema cuando salen versiones nuevas, revisando que nada se rompa.
• Usar una versión de PHP que todavía reciba soporte. Las antiguas ya no reciben parches.
• Borrar los plugins que ya no usas. Un plugin desactivado igual puede ser una puerta de entrada.
• Tener respaldos recientes guardados fuera del servidor, para poder volver atrás si algo sale mal.

¿Tienes dudas? Te ayudamos

Si no sabes si tu hosting aplicó el parche, qué versión de PHP usa tu sitio o si tus plugins están al día, escríbenos y auditamos tu sitio. Te explicamos en simple qué encontramos y qué conviene hacer.