# PHP2Shell: qué ha pasado con el fallo crítico de PHP y cómo saber si tu web está en riesgo

> Dos vulnerabilidades críticas en el propio motor de PHP han puesto en alerta a medio internet. Te explicamos en lenguaje llano qué ocurre, a quién afecta y qué debes hacer hoy.

Hace unos días se han publicado dos vulnerabilidades críticas en PHP, el lenguaje sobre el que funcionan WordPress, PrestaShop, WooCommerce, Joomla y una enorme parte de las webs que conoces. Se las conoce como PHP2Shell (CVE-2026-109618 y CVE-2026-109619) y, según los avisos publicados, permiten ejecutar código en el servidor sin necesidad de iniciar sesión. Su puntuación de gravedad es de 9,2 sobre 10. Por qué es distinto a otros avisos Lo habitual es que el fallo esté en un plugin o en un tema. Aquí el problema está en el propio PHP, es decir, en el motor del servidor. Por eso una web puede tener WordPress y todos sus plugins al día y seguir expuesta si el servidor ejecuta una versión de PHP afectada. Qué versiones están corregidas Los desarrolladores de PHP han publicado las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1 y anteriores ya no reciben parches oficiales, así que si tu web las usa, la solución no es esperar: es migrar a una versión con soporte. Qué debes hacer hoy Averigua tu versión de PHP. Se ve en el panel de tu hosting o preguntándole a quien te lleva la web. Actualiza a una versión corregida o pide a tu proveedor que lo haga. Si no puedes parchear ya, hay que valorar aislar la web temporalmente. Revisa que tienes copias recientes y que se pueden restaurar. Vigila señales raras: archivos nuevos que no reconoces, redirecciones extrañas, correos que salen sin que nadie los haya enviado. Lo que nos enseña este episodio Que una web no es “instalar y olvidar”. Quien lleva años sin tocar su servidor, o tiene un PHP antiguo “porque funciona”, está asumiendo un riesgo que no ve. Por eso en Bytechip hacemos mantenimiento preventivo: revisar versiones, parches y copias antes de que salte la alarma. Una nota de honestidad: no se conoce todavía el alcance real de los ataques, y conviene contrastar las cifras que circulan con los avisos oficiales de PHP. Lo prudente es actuar sin esperar a saberlo. ¿Quieres que lo revisemos por ti? Cuéntanos tu caso desde el formulario de contacto y lo vemos contigo, sin compromiso.