Vulnerabilidad PHP2Shell: cómo saber si tu web está expuesta y qué debes hacer

El 20 de octubre de 2026 se hizo pública una vulnerabilidad grave de PHP, conocida como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Permite que un atacante ejecute código en el servidor sin ninguna contraseña, solo con peticiones a la web. Afecta a todas las versiones de PHP desde la 5.4 hasta la 8.5.11, y ya se estaba explotando antes de que se publicara.

PHP es el lenguaje con el que funcionan WordPress, Joomla, Drupal, PrestaShop y la mayoría de webs hechas a medida. Por lo tanto, si tienes una web, es muy probable que te afecte.

Si tu web está en Intergrid, está protegida

Si tienes la web alojada con nosotros, no te ha afectado de ninguna manera y no tienes que hacer nada. Se lo explicamos por correo a nuestros clientes el 25 de octubre.

El miércoles 21 de octubre, cuando se dio a conocer la vulnerabilidad, nuestro equipo se puso a ello al instante:

• En pocos minutos aplicamos una primera medida de protección a todos los PHP de todos nuestros servidores.
• A continuación actualizamos y corregimos todos los PHP vulnerables de toda nuestra flota de servidores.
• También las versiones antiguas de PHP que los fabricantes ya no actualizan: las recompilamos nosotros mismos con las correcciones de seguridad, para que las webs que aún dependen de ellas siguieran funcionando y a la vez quedaran protegidas.

Además, las webs que tienen el servicio WebSentinel se revisan cada noche para detectar código malicioso. Cuando pasan cosas como esta, hay un equipo vigilante que actúa enseguida.

Si tu web está en otro alojamiento, esto es lo que debes saber.

Cómo saber si tu web está afectada

Las versiones corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35, o posteriores. Las ramas 7.4, 8.0 y 8.1 solo tienen corrección si el proveedor la ha aplicado por su cuenta. Las versiones 5.x, 7.2 y 7.3 no tendrán nunca una oficial.

Para saber qué versión usa tu web:

• En WordPress: Herramientas → Salud del sitio → Información → Servidor.
• En el panel de tu alojamiento, en el apartado de configuración de PHP.
• Preguntándolo a tu proveedor de alojamiento, que también debería poder decirte si ya ha aplicado la corrección.

Si tu web funciona con una versión antigua de WordPress o de PHP, es de las que corren más riesgo: son las que no se pueden actualizar de un día para otro.

Qué debes hacer

• Actualizar PHP a una versión corregida. Es la única solución completa.
• Si la web no funciona con un PHP moderno, hay que actualizar WordPress, la plantilla y los plugins, o sustituir los que ya no tienen mantenimiento.
• Mientras tanto, el proveedor puede reducir el riesgo desactivando session.upload_progress en el php.ini del servidor. No sirve ponerlo en el .user.ini de la web.
• Revisar que la web no tenga ningún archivo extraño: si alguien ha entrado, la corrección no lo expulsa.

¿Tu web está en otro alojamiento y no sabes por dónde empezar?

Podemos hacernos cargo. Trasladamos tu web a Intergrid de forma gratuita, con el correo y el dominio si hace falta, y la dejamos funcionando sobre una versión de PHP corregida y mantenida. Si la web es antigua, te decimos qué hay que actualizar para que funcione con un PHP moderno sin perder contenidos ni posicionamiento, y lo hacemos nosotros.

Antes de empezar te enviamos un presupuesto sin compromiso, y la migración solo empieza cuando lo apruebas.