PHP2Shell: qué ha pasado con el fallo crítico de PHP y cómo saber si tu web está en riesgo

Hace unos días se han publicado dos vulnerabilidades críticas en PHP, el lenguaje sobre el que funcionan WordPress, PrestaShop, WooCommerce, Joomla y una enorme parte de las webs que conoces. Se las conoce como PHP2Shell (CVE-2026-109618 y CVE-2026-109619) y, según los avisos publicados, permiten ejecutar código en el servidor sin necesidad de iniciar sesión. Su puntuación de gravedad es de 9,2 sobre 10.

Por qué es distinto a otros avisos

Lo habitual es que el fallo esté en un plugin o en un tema. Aquí el problema está en el propio PHP, es decir, en el motor del servidor. Por eso una web puede tener WordPress y todos sus plugins al día y seguir expuesta si el servidor ejecuta una versión de PHP afectada.

Qué versiones están corregidas

Los desarrolladores de PHP han publicado las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1 y anteriores ya no reciben parches oficiales, así que si tu web las usa, la solución no es esperar: es migrar a una versión con soporte.

Qué debes hacer hoy

• Averigua tu versión de PHP. Se ve en el panel de tu hosting o preguntándole a quien te lleva la web.
• Actualiza a una versión corregida o pide a tu proveedor que lo haga. Si no puedes parchear ya, hay que valorar aislar la web temporalmente.
• Revisa que tienes copias recientes y que se pueden restaurar.
• Vigila señales raras: archivos nuevos que no reconoces, redirecciones extrañas, correos que salen sin que nadie los haya enviado.

Lo que nos enseña este episodio

Que una web no es “instalar y olvidar”. Quien lleva años sin tocar su servidor, o tiene un PHP antiguo “porque funciona”, está asumiendo un riesgo que no ve. Por eso en Bytechip hacemos mantenimiento preventivo: revisar versiones, parches y copias antes de que salte la alarma.

Una nota de honestidad: no se conoce todavía el alcance real de los ataques, y conviene contrastar las cifras que circulan con los avisos oficiales de PHP. Lo prudente es actuar sin esperar a saberlo.

¿Quieres que lo revisemos por ti? Cuéntanos tu caso desde el formulario de contacto y lo vemos contigo, sin compromiso.