Un fallo grave en PHP obliga a actualizar webs y tiendas online

Si tu web utiliza WordPress, WooCommerce u otra aplicación PHP, comprueba hoy qué versión de PHP ejecuta el servidor y solicita su actualización si no tiene las correcciones de PHP2Shell. Actualizar WordPress no resuelve por sí mismo estas vulnerabilidades, porque los fallos están en PHP.

El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad para corregir CVE-2026-109618 y CVE-2026-109619, dos vulnerabilidades críticas de ejecución remota de código conocidas como PHP2Shell.

Según Help Net Security, existe un exploit capaz de funcionar mediante una sola petición web sin autenticación. Esto hace que la revisión sea urgente incluso cuando la web parece funcionar con normalidad.

¿Está afectada una web hecha con WordPress o WooCommerce?

Sí, si el servidor utiliza una versión vulnerable de PHP para atender peticiones web.

PHP es el lenguaje que ejecuta buena parte de la lógica de WordPress, WooCommerce y otros gestores de contenido. Procesa solicitudes, genera páginas y permite que funcionen numerosas características de la aplicación.

Los fallos afectan a distintas formas de ejecutar PHP, entre ellas:

• PHP-FPM.
• Apache con mod_php.
• php-cgi.
• FrankenPHP.
• LiteSpeed.

La configuración con mod_php presenta el mayor riesgo, según el análisis publicado por Help Net Security.

El problema tampoco se limita a WordPress. Puede afectar a tiendas y aplicaciones personalizadas que procesen peticiones mediante PHP.

Una web completamente estática, servida como archivos HTML, CSS y JavaScript sin ejecutar PHP en las visitas, no está expuesta por esa vía de ejecución. Aun así, conviene comprobar si utiliza algún componente PHP adicional.

¿Qué versiones de PHP corrigen PHP2Shell?

Las actualizaciones publicadas el 21 de octubre incorporan las correcciones necesarias en cuatro ramas.

Fuente: Help Net Security, 21 de octubre de 2026, actualizado el 22 de octubre.

Para PHP 7.4, 8.0 y 8.1 existen parches mínimos de código fuente, pero estas ramas ya no reciben mantenimiento ordinario del proyecto PHP.

Algunos distribuidores de Linux y proveedores de soporte prolongado pueden incorporar correcciones adaptadas a sus paquetes. Por eso, si el alojamiento utiliza paquetes especiales, hay que solicitar confirmación de que incluyen ambos parches.

El número de versión visible no siempre permite identificar por sí solo una corrección incorporada por el proveedor.

Cómo comprobar tu versión de PHP en WordPress

No necesitas acceder al código del servidor para realizar la primera comprobación.

Desde el panel de administración de WordPress:

1. Entra en Herramientas.

2. Abre Salud del sitio.

3. Selecciona la pestaña Información.

4. Despliega el apartado Servidor.

5. Busca la versión de PHP instalada.

Esta es la ruta indicada por WordPress.org en su aviso de seguridad del 21 de octubre.

También puedes consultar la versión desde el panel de tu alojamiento, normalmente dentro de las opciones de configuración de PHP.

Si tienes varias webs o subdominios, comprueba cada instalación. No des por hecho que todos utilizan la misma versión.

Qué pedirle exactamente a tu alojamiento

Si no administras directamente el servidor, contacta con el soporte técnico y solicita confirmación por escrito de tres cuestiones:

1. Qué versión de PHP ejecuta actualmente tu web.

2. Si están aplicadas las correcciones de CVE-2026-109618 y CVE-2026-109619.

3. Cuándo se realizará la actualización si todavía está pendiente y qué medidas temporales de protección están activas.

También puedes preguntar si existe un cortafuegos de aplicaciones web, conocido como WAF, con reglas específicas para PHP2Shell.

Cloudflare ha desplegado reglas frente a los vectores de explotación conocidos para todos sus clientes, incluidos los gratuitos.

Pero un WAF no sustituye una actualización de PHP. Sus reglas pueden reducir la exposición mientras se corrige el servidor, sin garantizar protección frente a todas las variantes de ataque.

¿Qué hacer si tu web todavía utiliza PHP 8.1 o anterior?

El aviso oficial de WordPress.org recuerda que las versiones anteriores a PHP 8.2 ya no reciben actualizaciones ordinarias de seguridad del proyecto.

Si tu web continúa en una de estas ramas, solicita al alojamiento una migración a una versión con soporte y con las correcciones instaladas.

Antes de ejecutar el cambio, prepara una copia de seguridad completa de archivos y base de datos.

Si es posible, comprueba la compatibilidad en un entorno de pruebas. Algunos temas, plugins o desarrollos personalizados pueden necesitar adaptaciones para funcionar con una versión más reciente de PHP.

Si administras tu propio servidor y no puedes corregirlo de inmediato, el Centro Nacional de Ciberseguridad británico (NCSC) recomienda considerar su desconexión hasta disponer de medidas suficientes. WordPress.org recoge expresamente esta recomendación.

Mantener una instalación vulnerable publicada mientras se aplaza indefinidamente la actualización no es una alternativa razonable.

Qué comprobar después de actualizar PHP

Una vez aplicada la corrección, verifica que las funciones principales de la web siguen trabajando correctamente.

Si detectas errores, comunica al responsable técnico qué operación falla y desde cuándo ocurre.

Una actualización de seguridad puede requerir ajustes de compatibilidad, pero eso no justifica regresar sin más a una versión vulnerable.

El mantenimiento del servidor también forma parte de tu web

Una web no termina en WordPress, sus plugins o su diseño. Depende de un conjunto de componentes con sus propios ciclos de soporte.

PHP2Shell demuestra por qué conviene mantener un inventario técnico y un calendario de actualizaciones. En cómo organizar las versiones y el soporte de tu stack explicamos cómo evitar que dependencias antiguas permanezcan olvidadas.

También importa tener definido un procedimiento para comunicar y gestionar fallos. Nuestro artículo sobre notificación de vulnerabilidades y el Cyber Resilience Act aborda esa parte de la seguridad de productos digitales.

En este incidente, Amazon registró un intento de explotación el 17 de octubre de 2026, antes de la publicación oficial de las vulnerabilidades. Eso confirma actividad previa, pero no demuestra una explotación generalizada.

Qué decisión tomar esta semana

Comprueba la versión de PHP de todas tus webs, pide al alojamiento confirmación de los dos parches y acuerda la actualización si todavía falta. Realiza una copia de seguridad y revisa las operaciones esenciales después del cambio, especialmente si tienes una tienda. Si necesitas revisar el mantenimiento técnico de tu web o sus integraciones, cuéntanos qué instalación necesitas comprobar para identificar las tareas pendientes.