PHP2Shell: la falla crítica de PHP que afecta a millones de sitios web

En octubre de 2026 se hizo pública una de las fallas de seguridad más serias de los últimos años, y no está en WordPress ni en ningún complemento: está en PHP, el lenguaje en el que funciona una enorme parte de internet. La falla recibió el nombre PHP2Shell y, mientras escribimos esto, ya hay intentos de ataque reportados.

Si tu negocio tiene un sitio web, una tienda en línea o un sistema hecho con PHP, esta guía te explica qué pasó, a quién afecta, cómo saber si estás expuesto y qué hacer, sin tecnicismos innecesarios.

Qué es PHP2Shell

PHP2Shell es el nombre con el que se conoce a dos vulnerabilidades críticas del propio PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Cada una recibió una calificación de gravedad de 9.2 sobre 10.

Según los investigadores que las reportaron, permiten que una persona desconocida, sin necesidad de iniciar sesión, logre ejecutar su propio código en el servidor donde vive un sitio. En la práctica, eso puede significar:

• Robar información que el servidor tiene en memoria, como contraseñas, claves o sesiones de usuarios.
• Cambiar el contenido del sitio o redirigir a tus visitantes.
• Instalar una "puerta trasera" para volver a entrar cuando quiera.

El nombre viene de eso: pasar de PHP a una "shell", es decir, a tener control del servidor.

Por qué es distinta a otras fallas

Normalmente, cuando se habla de un sitio vulnerable, el problema está en un complemento, un tema o un sistema de administración mal actualizado. Aquí no. La falla está en el motor de PHP, la pieza que ejecuta el sitio. Eso tiene consecuencias importantes:

• Un sitio puede estar bien programado y aun así ser vulnerable, porque el problema está debajo de su código.
• Actualizar WordPress, la tienda o sus complementos no corrige la falla. Hay que actualizar PHP en el servidor.
• Los investigadores mostraron el ataque contra varios sistemas muy conocidos, entre ellos WordPress, Drupal, Joomla, Magento, Laravel, Nextcloud y phpMyAdmin.

Se estima que PHP funciona en cerca del 70 % de los sitios web del mundo. No todos serán explotables: depende de la versión, de la configuración y de si ya se aplicó la actualización. Pero la escala del problema explica por qué muchos proveedores pusieron sitios en mantenimiento o los apagaron de forma temporal.

Cómo funciona, en palabras simples

Conviene entenderlo sin entrar en lo técnico. Cuando alguien visita un sitio, el servidor atiende la petición y le asigna memoria. Si algo sale mal a mitad del proceso, por ejemplo si se agota la memoria permitida, PHP debería "limpiar" lo que dejó a medias. En estas fallas, esa limpieza no se hace bien.

Un atacante puede provocar ese error a propósito, normalmente enviando una petición de subida de archivos armada con mala intención, y luego aprovechar lo que quedó mal limpiado para leer información o ejecutar código. Los investigadores señalan que esto puede ocurrir antes de que el código del propio sitio llegue a ejecutarse, por eso un sitio "bien hecho" no basta como defensa.

¿Qué versiones de PHP están afectadas?

Según los reportes publicados, la falla existe desde hace más de una década y alcanza a prácticamente todas las versiones desde PHP 5.4. El equipo de PHP publicó correcciones el 21 de octubre de 2026 en estas versiones:

• Si usas PHP 8.5: actualiza a la 8.5.12 o superior.
• Si usas PHP 8.4: actualiza a la 8.4.27 o superior.
• Si usas PHP 8.3: actualiza a la 8.3.36 o superior.
• Si usas PHP 8.2: actualiza a la 8.2.35 o superior.

Hay un punto delicado: las versiones 8.1 y anteriores ya no reciben actualizaciones de seguridad oficiales. Algunos reportes mencionan que podrían salir correcciones puntuales para algunas de ellas, pero no es algo en lo que convenga apostar. Si tu sitio está en una versión antigua, la salida segura es migrar a una versión con soporte, preferiblemente PHP 8.3 o superior.

Ten en cuenta también que PHP 8.2 termina su soporte a finales de 2026, así que lo ideal es no quedarse ahí por mucho tiempo.

¿Ya están atacando?

Sí hay señales de actividad. La empresa Cloudflare reportó los primeros intentos de ataque el mismo día de la publicación, incluso antes de que salieran las correcciones, y otras firmas de seguridad también han visto intentos. Además, ya circulan descripciones técnicas y herramientas, lo que facilita que los ataques automáticos se multipliquen. Como siempre en estos casos, los atacantes no eligen a un negocio en particular: recorren internet buscando servidores sin actualizar.

Una advertencia: en estos días aparecen en internet repositorios que dicen ser "exploits" de PHP2Shell. Algunos podrían ser falsos o contener software malicioso. No los descargues ni los pruebes.

Cómo saber si tu sitio está expuesto

No hace falta ser técnico para dar el primer paso. Hazte estas preguntas:

1. ¿Mi sitio usa PHP? Si fue hecho con WordPress, WooCommerce, Joomla, Drupal, Magento o PrestaShop, o con un sistema a medida de hace varios años, casi seguro que sí. Si no sabes, pregunta a quien lo hizo o a tu proveedor de hosting.
2. ¿Qué versión de PHP tiene? Muchos paneles de hosting la muestran en una sección llamada "Versión de PHP" o "Selector de PHP".
3. ¿Mi proveedor ya aplicó la corrección? Pídelo por escrito. Que esté "programada" no es lo mismo que que esté instalada.
4. ¿Hay otros sistemas con PHP? Un sitio viejo que ya nadie usa, un sistema interno o un panel de administración también cuentan.

Qué hacer ahora

Si tu hosting es administrado por el proveedor:

• Escríbele y pide confirmación de que la versión de PHP de tu sitio es una de las corregidas.
• Si todavía no la tienen, pregunta cuándo la aplicarán y qué medidas temporales usan mientras tanto.

Si tú o alguien de tu equipo administra el servidor:

• Aplica la actualización de PHP que corresponde a tu versión, desde el proveedor del sistema o del hosting.
• Si usas una versión sin soporte, planifica la migración a una versión actual y prueba el sitio antes de cambiarlo.
• Mientras tanto, las empresas de seguridad mencionan medidas temporales, como activar un firewall de aplicaciones web (Cloudflare ofrece reglas contra esta falla, incluso en planes gratuitos), limitar las subidas de archivos y reducir el tamaño máximo de lo que se puede enviar. Son parches de emergencia: no reemplazan actualizar PHP.

Lo que no resuelve el problema:

• Actualizar solo WordPress o sus complementos.
• Poner el sitio en "modo mantenimiento" desde el propio sistema, porque el ataque ocurre antes de que ese modo entre en juego.
• Cambiar contraseñas, aunque conviene hacerlo si sospechas de una intrusión.

Señales de que tu sitio pudo haber sido comprometido

Si tu sitio estuvo expuesto antes de actualizarse, vale la pena revisar:

• Archivos nuevos o extraños en el servidor, sobre todo archivos PHP en carpetas de subidas o de imágenes.
• Usuarios administradores que no reconoces.
• Redirecciones a otras páginas, anuncios o contenido que tú no pusiste.
• Avisos de Google o del navegador diciendo que el sitio no es seguro.
• Correos raros enviados desde tu dominio, o tu dominio en listas negras de spam.
• Picos de errores o de uso del servidor sin motivo aparente.

Si encuentras algo, hay un orden que conviene respetar: haz una copia del estado actual para análisis, restaura una versión limpia anterior al ataque, actualiza PHP primero y después cambia todas las contraseñas y claves (administrador, base de datos, hosting y correo). Borrar un archivo sospechoso sin cerrar la entrada por donde llegó casi siempre termina en una nueva intrusión.

Lo que esto enseña a cualquier negocio

PHP2Shell es un caso de estudio útil, más allá de esta falla en particular:

• El mantenimiento no es opcional. Lo que mantienes actualizado incluye no solo el sitio, sino también el servidor y el lenguaje en el que corre.
• Debes saber quién se encarga de qué. En el momento de una emergencia, preguntar "¿y esto quién lo actualiza?" ya es tarde.
• Un respaldo probado vale oro. Es lo que permite volver a un punto limpio.
• Las versiones sin soporte son una deuda. Cada año que pasa sin migrar, el riesgo y el costo de hacerlo aumentan.
• Las capas de defensa ayudan, pero no sustituyen la corrección. Un firewall compra tiempo, no arregla el problema.

Si quieres profundizar en lo básico, en nuestra guía de seguridad en sitios web repasamos lo que todo negocio debería tener.

Una lista corta para esta semana

1. Sé qué versión de PHP usa mi sitio (o le pedí a mi proveedor que me lo diga).
2. Mi proveedor confirmó por escrito que ya aplicó la corrección, o tengo fecha concreta.
3. Si mi versión no tiene soporte, tengo un plan para migrar.
4. Tengo un respaldo reciente y sé cómo restaurarlo.
5. Revisé que no haya usuarios, archivos ni redirecciones que no reconozca.
6. Sé a quién llamar si algo se ve raro.

Si no puedes marcar alguna, o sospechas que tu sitio ya fue afectado, en Euxora podemos ayudarte: revisamos tu sitio, aplicamos las correcciones, limpiamos lo que haga falta y dejamos un mantenimiento web continuo para que no vuelva a pasar. Cuéntanos tu caso por WhatsApp o desde la página de contacto, y te respondemos por escrito con un diagnóstico claro.

Este artículo se basa en la información pública disponible al 21 de octubre de 2026 y puede actualizarse a medida que aparezcan más datos. Fuentes consultadas: avisos de watchTowr, Wiz, Sansec, Cloudflare y Malwarebytes, además de reportes de SecurityWeek y heise.