El 21 de octubre se publicaron los parches para PHP2Shell, el nombre que recibieron dos fallas críticas en PHP (CVE-2026-109618 y CVE-2026-109619). PHP es el lenguaje sobre el que funcionan WordPress, Drupal, Joomla, WooCommerce y una parte enorme de los sitios corporativos que existen hoy.
Si tu empresa tiene un sitio web, lo más probable es que corra sobre PHP. Y si nadie revisó qué versión de PHP usa ese sitio en las últimas dos semanas, hay una pregunta pendiente que vale la pena hacer hoy.
Qué es PHP2Shell, sin tecnicismos
Cada vez que alguien visita tu sitio, su navegador le envía una solicitud al servidor. PHP lee esa solicitud y arma la página. Las dos fallas de PHP2Shell permiten que un atacante envíe una solicitud diseñada para confundir a PHP mientras la procesa y, en ese desorden, ejecutar su propio código en el servidor.
En la práctica, eso significa que alguien externo puede tomar control del sitio sin necesitar una contraseña. Desde ahí puede modificar páginas, instalar código malicioso o leer la base de datos que está detrás: formularios de contacto, usuarios, pedidos.
Dos datos ayudan a dimensionarlo, según el análisis técnico de Pentest-Tools.com:
- Están afectadas todas las versiones de PHP anteriores a 8.2.35, 8.3.36, 8.4.27 y 8.5.12, además de las versiones que ya no tienen soporte oficial.
- Hubo intentos de explotación registrados desde antes del aviso público, y ya circulan pruebas de concepto públicas para explotarla.
No es motivo para entrar en pánico. Sí es motivo para no dejarlo para la próxima semana.
Por qué actualizar WordPress no resuelve el problema
Este es el punto que más confusión genera, y el más importante para una empresa.
PHP2Shell no es una falla de WordPress, ni de un plugin, ni del tema. Está en PHP, el motor sobre el que todo eso funciona. Por eso, aunque el panel de WordPress diga que todo está al día, el sitio puede seguir expuesto.
La versión de PHP no se actualiza desde el panel de WordPress. Se cambia en el servidor o en el panel del hosting, y quién lo hace depende de cómo esté contratado el sitio:
- Hosting compartido o administrado: normalmente el proveedor de hosting aplica el parche, pero no siempre de forma automática. Muchos planes dejan que el cliente elija su versión de PHP, y si el sitio está fijado en una versión antigua, se queda ahí.
- Servidor propio o VPS: la actualización le corresponde a quien administra el servidor. Si nadie tiene ese rol asignado, nadie la hizo.
- Sitios con versiones antiguas de PHP (7.x o anteriores): estas versiones ya no reciben parches oficiales. La salida real es migrar a una versión con soporte, y eso suele requerir revisar que el sitio funcione en ella.
El problema de fondo: nadie está a cargo
PHP2Shell es una falla nueva, pero la situación que expone es antigua. Muchos sitios corporativos se construyeron hace dos o tres años, se entregaron y desde entonces nadie revisa la base técnica. El proveedor que lo hizo ya no está, o solo aparece cuando algo se rompe. El hosting se renueva solo con la tarjeta de la empresa.
En ese escenario, una falla como esta no la resuelve nadie, porque nadie sabe que le corresponde. Y una solicitud maliciosa automatizada no busca a tu empresa en particular: recorre internet buscando servidores vulnerables y entra donde encuentra la puerta abierta.
El costo no es solo técnico. Un sitio comprometido puede terminar redirigiendo a páginas de spam, marcado como peligroso por Google o filtrando los datos de quienes llenaron tu formulario. Para una empresa B2B, donde el sitio es una de las primeras señales de seriedad que ve un cliente, eso pesa.
Qué hacer esta semana
No necesitas saber de servidores para cerrar este tema. Necesitas tres respuestas concretas:
- ¿Qué versión de PHP usa hoy el sitio? La puede ver quien administra el hosting, en el panel del proveedor, o cualquier desarrollador en minutos.
- ¿Esa versión ya tiene el parche? Debe ser igual o superior a 8.2.35, 8.3.36, 8.4.27 u 8.5.12, según la rama. Si es 8.1 o anterior, el sitio necesita migrar a una versión con soporte.
- ¿Quién quedó a cargo de verificarlo? Si la respuesta es “no sé”, ese es el primer problema que hay que resolver.
Un mensaje simple a tu proveedor de hosting o a quien mantiene el sitio basta para partir: “¿El servidor de nuestro sitio ya tiene aplicado el parche de PHP2Shell? ¿Qué versión de PHP estamos usando?”. Si la respuesta tarda o es vaga, también es información.
Mientras tanto, Cloudflare activó protección contra PHP2Shell en su firewall para todos los sitios que lo usan, incluido el plan gratuito, según Hostinger. Ayuda a ganar tiempo, pero no reemplaza el parche.
Lo que PTW recomienda
Una falla crítica en el motor del sitio no debería pillar a una empresa sin saber a quién llamar. El criterio es simple: todo sitio corporativo necesita a alguien responsable de su base técnica, con tareas definidas y no solo cuando algo falla.
Si tu sitio está en WordPress y nadie lo revisa hace meses, el primer paso es ponerlo al día: actualizar PHP, WordPress, plugins y tema con respaldo previo, revisar la seguridad básica y dejar un informe claro del estado en que queda. Desde ahí, mantenerlo con una rutina mensual.
Eso es exactamente lo que hacemos en la mantención web de PTW: partimos con un rescate del sitio y lo mantenemos con una tarifa fija y horas definidas. Si no sabes en qué estado está tu sitio hoy, también puedes solicitar un diagnóstico.