PHP2Shell: actualiza PHP en tu WordPress esta semana

¿Qué es PHP2Shell y por qué tu web en WordPress debe actualizarse hoy?

PHP2Shell son dos fallas críticas de PHP que permiten a un atacante tomar control del servidor con una sola petición, sin usuario ni contraseña. El proyecto PHP publicó la corrección el 21 de octubre de 2026 y ya circulan exploits públicos. Si tu sitio corre en WordPress, WooCommerce o PrestaShop, la tarea de esta semana es confirmar que tu hosting actualizó PHP.

Resumen rápido

• Vulnerabilidades: CVE-2026-109618 y CVE-2026-109619, ambas con 9,2 sobre 10 en CVSS v4.
• Permiten ejecutar código de forma remota sin autenticación, en configuraciones por defecto.
• Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
• PHP 8.1 y anteriores ya no reciben corrección oficial: solo parches mínimos para quien compila desde código.
• Actualizar plugins de WordPress no sirve: el arreglo es en el servidor.

Qué se sabe de la falla

Dato	Detalle
Fecha del parche	21 de octubre de 2026 (detalles filtrados el 20 de octubre)
Gravedad	Crítica, 9,2 en CVSS v4.0
Qué permite	Ejecutar código en el servidor con una petición, antes de que corra la aplicación
Configuraciones afectadas	PHP-FPM, Apache con mod_php (la más expuesta), php-cgi, FrankenPHP y LiteSpeed
Explotación	Hay pruebas de concepto públicas; el NCSC de Países Bajos espera explotación masiva pronto
Mitigación temporal	session.upload_progress.enabled = 0 y reglas WAF de Cloudflare

Los datos técnicos vienen del reporte de Help Net Security y de las preguntas frecuentes de Tenable sobre PHP2Shell.

Por qué esto le toca a una pyme en Colombia

Buena parte de las páginas corporativas y tiendas pequeñas del país están en WordPress o WooCommerce, en hostings compartidos que el dueño nunca abre. Ahí está el problema: en ese modelo tú no controlas cuándo se actualiza PHP, y muchos planes económicos siguen ofreciendo PHP 7.4 u 8.0, que ya no reciben correcciones oficiales.

Un servidor comprometido no solo es una web caída. Puede servir malware a tus clientes, enviar spam con tu dominio (y hundir la entrega de tus correos) o exponer los datos de pedidos de WooCommerce, que en Colombia son datos personales protegidos por la Ley 1581.

Cómo saber si tu sitio ya fue atacado

Actualizar PHP cierra la puerta, pero no saca a quien ya entró. Si tu servidor estuvo sin parche desde el 20 de octubre, cuando se conocieron los detalles, revisa estas señales:

• Usuarios administradores en WordPress que nadie de tu equipo creó.
• Archivos PHP nuevos o modificados en wp-content/uploads, una carpeta que solo debería tener imágenes y documentos.
• Redirecciones extrañas desde Google o desde el celular, que a veces no se ven desde el computador del administrador.
• Avisos de Google Search Console sobre problemas de seguridad o un aumento repentino de correos rebotados desde tu dominio.

Si encuentras alguna, no basta con borrar el archivo sospechoso: hay que cambiar todas las contraseñas (WordPress, hosting, base de datos y FTP), restaurar desde un backup limpio y revisar los accesos del último mes.

El ángulo de Zero Azul: la pregunta es quién actualiza tu servidor

El sitio de zeroazul.com no está expuesto a PHP2Shell: lo construimos en Next.js y no ejecuta PHP. No lo decimos para vender una tecnología (WordPress sigue siendo una buena opción para muchos negocios), sino porque esta falla muestra el criterio que usamos al recomendar dónde alojar una web: cada pieza del servidor debe tener un responsable con nombre propio y un tiempo de respuesta.

Cuando recibimos un WordPress para soporte, revisamos tres cosas en este orden:

1. Versión de PHP y quién la cambia. Si el hosting no deja elegir versión o tarda semanas en publicar parches, ese es el primer riesgo.
2. Si hay un firewall delante. Pasar el dominio por Cloudflare, incluso en el plan gratuito, da protección el mismo día ante fallas como esta.
3. Si existe un backup fuera del hosting. Si el servidor se compromete, la copia que vive en el mismo servidor también.

Qué hacer ahora

1. Entra a WordPress > Herramientas > Salud del sitio > Información > Servidor y anota la versión de PHP.
2. Si es menor a las versiones corregidas, escribe hoy a tu hosting y pide fecha exacta de actualización.
3. Si estás en PHP 8.1 o anterior, planea subir a 8.3 u 8.4 y prueba antes tus plugins en una copia del sitio.
4. Activa Cloudflare o el firewall de tu proveedor mientras llega el parche.
5. Confirma que tienes una copia de seguridad fuera del servidor.

Si no sabes quién administra tu servidor, ese es el hallazgo. En Zero Azul hacemos mantenimiento web con actualizaciones de servidor incluidas, ciberseguridad e infraestructura y soporte WordPress para empresas. Para una base general, revisa nuestra guía de ciberseguridad para pymes en Colombia.

Preguntas frecuentes

¿Qué es PHP2Shell y a quién afecta?

PHP2Shell es el nombre de dos vulnerabilidades críticas de PHP (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar código en el servidor sin iniciar sesión. Afecta a cualquier instalación de PHP que atienda peticiones web, lo que incluye la mayoría de sitios WordPress, WooCommerce y PrestaShop.

¿Cómo sé si mi página WordPress es vulnerable a PHP2Shell?

Revisa la versión de PHP en el panel de tu hosting o en Herramientas > Salud del sitio de WordPress. Si es anterior a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o si usas PHP 8.1 o más antiguo, tu servidor está expuesto hasta que se actualice.

¿Actualizar los plugins de WordPress soluciona PHP2Shell?

No. La falla está en PHP, el lenguaje que ejecuta WordPress, no en un plugin ni en el tema. La corrección se hace en el servidor actualizando PHP y reiniciando PHP-FPM o Apache.

¿Qué hago si mi hosting no ha actualizado PHP todavía?

Pide por escrito la fecha de actualización. Mientras tanto, la medida temporal recomendada es desactivar session.upload_progress.enabled; si tu sitio pasa por Cloudflare, sus reglas de firewall ya bloquean los vectores conocidos, también en el plan gratuito.

¿Las tiendas en Shopify están expuestas a PHP2Shell?

No de la misma forma: Shopify es una plataforma alojada y el dueño de la tienda no administra servidores PHP. El riesgo está en sitios propios con PHP, como WordPress, WooCommerce, PrestaShop o Magento.