PHP2Shell: la vulnerabilidad de PHP y qué hacer hoy con tu web

Si tienes una web con WordPress, una tienda en WooCommerce o en PrestaShop, esta semana te ha pasado algo y probablemente no te has enterado.

Durante catorce años, el motor que mueve siete de cada diez webs del mundo ha tenido la puerta de atrás abierta. Nadie la vio. Ni los mejores programadores, ni las grandes empresas, ni los gobiernos.

La vio una inteligencia artificial.

Y en cuanto se supo, se abrió para todos. También para los que viven de entrar donde no les llaman.

Te cuento qué ha pasado, por qué te afecta aunque no sepas qué es PHP, y las tres cosas que tienes que hacer hoy. No el lunes. Hoy.

Qué es PHP2Shell, la vulnerabilidad crítica de PHP

PHP es el lenguaje que hay detrás de casi todas las webs. Si tu web se hizo en los últimos quince años, lo más probable es que funcione con PHP aunque nunca hayas oído la palabra. Se estima que lo usa casi el 70 % de las webs que tienen un lenguaje de servidor conocido.

El 20 de octubre de 2026 se filtraron en redes los detalles de dos fallos críticos en el corazón de PHP, antes de la fecha prevista para anunciarlos. Los han bautizado como PHP2Shell (CVE-2026-109618 y CVE-2026-109619).

Lo grave no es solo la nota, que es de 9,2 sobre 10. Lo grave es dónde está el fallo:

No está en un plugin.
No está en una plantilla.
Está en el motor.

Traducido: alguien desde fuera puede ejecutar lo que quiera en tu servidor. Sin usuario. Sin contraseña. Sin que te enteres.

Por eso actualizar tus plugins no sirve de nada. Hay que actualizar PHP.

48 horas de pánico

La cronología lo dice todo:

Martes 20 de octubre: se filtran los detalles antes de tiempo.
Miércoles 21: PHP adelanta el parche y saca a la carrera las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
El mismo día: la agencia de seguridad nacional de Estados Unidos (NSA) recomienda algo que no se oye nunca: actualizar de inmediato o desconectar los sistemas hasta poder hacerlo. Varios gobiernos apagaron sus webs. Agencias de seguridad de Reino Unido, la Unión Europea, Canadá, Australia y Japón lanzaron avisos parecidos.

Cuando un gobierno prefiere apagar su web a dejarla encendida, algo serio está pasando.

Quién lo encontró: no fue un hacker, fue una IA

Aquí está la parte que más me interesa.

El fallo lo encontró en agosto una empresa de seguridad llamada Calif, usando un modelo de OpenAI, dentro de un programa de la propia OpenAI para buscar agujeros en el software que sostiene internet. Por su cuenta, el equipo de Wiz (que es de Google) encontró los dos fallos con varios modelos de inteligencia artificial.

El cofundador de Wiz lo dijo sin rodeos: probablemente era demasiado complejo para encontrarlo sin IA.

Catorce años escondido. Y una máquina lo saca en semanas.

El jarro de agua fría: los malos tienen la misma máquina

Esto es lo que nadie te cuenta en el titular.

La misma capacidad que usaron los buenos para encontrar el fallo la tienen los atacantes:

Amazon detectó un intento de ataque con este fallo el 17 de octubre, cuatro días antes del anuncio oficial.
Cloudflare vio ataques horas antes de que saliera el parche.
En el último mes han aparecido modelos chinos casi igual de potentes que los mejores, y cualquiera puede descargarlos gratis.

Lo que antes necesitaba un equipo de expertos y meses de trabajo, hoy necesita un ordenador y una tarde.

Pero calma: no es el fin de internet

No te voy a vender el apocalipsis.

Los forenses de Sansec rebajaron el riesgo al día siguiente: los ataques que circulan públicamente no funcionan contra una instalación estándar de PHP. Hace falta conocer el servidor y que se den ciertas condiciones.

No van a caer todas las webs mañana. Pero eso no te deja tranquilo, por lo que viene ahora.

El problema real: el PHP viejo

Las versiones PHP 7, 8.0 y 8.1 ya no reciben parches. Nadie las va a arreglar. Y PHP 8.2 deja de tener soporte el 31 de diciembre de 2026.

Según la empresa Modat, de 4,38 millones de servicios con PHP abiertos a internet, casi 8 de cada 10 van con una versión sin soporte.

Si tu web es una de ellas, estás solo.

Y aquí es donde muchos negocios pequeños tienen el problema. La web se hizo hace seis años, funciona, nadie la toca. Nadie sabe qué versión de PHP lleva. Nadie se ha preguntado nunca si eso importa.

Qué te juegas si tienes una web o una tienda online

Piensa en dos casos muy normales:

La clínica que tiene su web en WordPress desde hace seis años y nadie la actualiza.
La tienda online que vende con PrestaShop o WooCommerce y guarda los datos de cientos de clientes.

Si entran, no solo te tiran la web. Pueden:

Robar los datos de tus clientes.
Meter enlaces de estafa en tus páginas sin que lo veas.
Hacer que Google marque tu web como peligrosa, con ese aviso rojo que espanta a cualquiera.

En una tienda online, eso es la caja de un mes a la basura. Y la confianza de tus clientes, que cuesta mucho más que un mes de ventas.

Qué hacer hoy contra PHP2Shell: 3 pasos

Mira qué versión de PHP tienes. Entra en el panel de tu hosting (cPanel, Plesk o el que uses) y busca «versión de PHP». En WordPress también lo ves en Herramientas → Salud del sitio → Información → Servidor.
Si no es 8.2 o superior con el parche de esta semana, actualiza. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Y ojo: actualizar los plugins no sirve. Hay que actualizar PHP.
Si no sabes hacerlo, escribe hoy a tu hosting o a quien te hizo la web. Pregúntales literalmente: «¿Mi web tiene aplicado el parche de PHP2Shell?». Muchos hostings compartidos ya lo han aplicado por su cuenta, pero no lo des por hecho.

Si tu web va con PHP 7 u 8.1, el cambio de versión puede romper cosas. No lo hagas a ciegas: haz copia de seguridad antes o que lo haga alguien que sepa.

Cómo actualizar PHP en WordPress paso a paso

Si eres de los que prefiere hacerlo uno mismo, este es el orden que sigo yo. Sirve para WordPress, WooCommerce y casi cualquier web en PHP.

Haz una copia de seguridad completa (archivos y base de datos). Con el plugin que ya uses o desde el panel del hosting. Sin copia, no se toca nada.
Actualiza WordPress, el tema y los plugins antes de cambiar PHP. Un plugin abandonado es lo que más suele romperse con una versión nueva.
Cambia la versión de PHP en el panel del hosting. En cPanel está en MultiPHP Manager o Seleccionar versión de PHP; en Plesk, en Configuración de PHP del dominio. Elige 8.3 u 8.4 si tu web lo aguanta; como mínimo, 8.2 con el parche.
Revisa la web entera: portada, formularios, carrito y pago si tienes tienda. Si algo falla, vuelves a la versión anterior en el mismo panel y buscas el plugin culpable.
Comprueba que ha cambiado en Herramientas → Salud del sitio → Información → Servidor.

Si tienes una tienda que factura, hazlo primero en una copia de pruebas (muchos hostings la crean con un clic) y luego en la web real.

Y no es solo PHP

La misma semana han salido fallos graves en Node.js y en otras herramientas que usan miles de empresas.

No es casualidad. Buscar agujeros en el software se ha vuelto barato, porque una inteligencia artificial lo hace en una fracción del tiempo. Esto va a pasar cada vez más.

La lección

La seguridad ya no es cosa de los informáticos.

Si vendes por internet, la seguridad es tu caja.

Y la inteligencia artificial no es solo la herramienta que te ahorra horas. También es la que usarán contra ti. La pregunta es quién la usa primero.

Preguntas frecuentes

¿Qué es PHP2Shell?

PHP2Shell es el nombre de dos vulnerabilidades críticas en el motor de PHP (CVE-2026-109618 y CVE-2026-109619), publicadas en octubre de 2026. Permiten ejecutar código en un servidor sin iniciar sesión y tienen una gravedad de 9,2 sobre 10.

¿Mi web en WordPress está afectada?

WordPress funciona con PHP, así que sí puede estarlo. El fallo no está en WordPress sino en PHP, por eso actualizar WordPress o sus plugins no lo arregla: hay que actualizar la versión de PHP del servidor o pedírselo al hosting.

¿Qué versiones de PHP están corregidas?

Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores ya no reciben parches.

¿Cómo sé qué versión de PHP tiene mi WordPress?

En el escritorio de WordPress, entra en Herramientas → Salud del sitio → Información y abre el apartado Servidor: ahí aparece la versión de PHP. También la ves en el panel de tu hosting.

¿Cómo actualizo PHP en WordPress?

Haz copia de seguridad, actualiza tema y plugins, y cambia la versión de PHP desde el panel del hosting (en cPanel, MultiPHP Manager). Después revisa que la web y los formularios funcionan.

¿Quién descubrió el hackeo de PHP?

La empresa de seguridad Calif lo encontró con un modelo de inteligencia artificial de OpenAI, y el equipo de Wiz (Google) encontró los dos fallos por su cuenta usando varios modelos de IA.

¿Me tengo que preocupar si mi web está en un hosting compartido?

Menos, pero compruébalo. Muchos proveedores han aplicado el parche en sus servidores, pero no todos ni a la vez. Escríbeles y pregunta si ya lo tienen aplicado.