PHP2Shell: qué es y cómo saber si tu página web está en riesgo

Si tu página web está hecha en WordPress, tiene una tienda en WooCommerce o fue programada en PHP, esta semana te conviene dedicarle cinco minutos. El 21 de octubre de 2026, el equipo de PHP publicó parches de emergencia para PHP2Shell, el nombre con el que se conocen dos fallas críticas que permiten a un atacante tomar el control de un servidor sin usuario ni contraseña.

No es una alarma más. Los investigadores que la reportaron la describen como una de las fallas más graves encontradas en PHP, y ya hay intentos de ataque registrados. Te explicamos en simple qué es PHP2Shell, a quién afecta y cómo saber, hoy mismo, si tu web está protegida.

Qué es PHP2Shell, sin tecnicismos

PHP es el lenguaje con el que funciona buena parte de internet: WordPress, WooCommerce, Magento y miles de sitios hechos a la medida. PHP2Shell agrupa dos vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619. Las dos recibieron una calificación de 9,2 sobre 10 en la escala de gravedad CVSS.

Las dos tienen que ver con cómo PHP limpia la memoria cuando una petición sale mal. En la práctica, un atacante puede enviar una petición preparada a tu sitio y lograr que el servidor ejecute su propio código, sin haber iniciado sesión. Desde ahí podría robar datos, instalar programas maliciosos o tumbar la página.

Hay un detalle que dice mucho del momento que vivimos: según los investigadores de seguridad que la descubrieron, la falla llevaba años escondida en el código de PHP, y fueron los modelos de inteligencia artificial los que hicieron posible convertirla en un ataque real. Ya lo habíamos advertido al hablar de los riesgos de la inteligencia artificial en empresas: la IA también juega del lado de los atacantes, y por eso el mantenimiento web dejó de ser opcional.

¿Mi página web está afectada por PHP2Shell?

Según el equipo de seguridad de PHP, están afectadas todas las instalaciones de PHP que atienden peticiones web, en prácticamente todas las versiones de la última década. Si tu web funciona con PHP, en principio estaba expuesta hasta que se actualice. Esta es la tabla para ubicarte:

Algo importante: actualizar WordPress, el tema o los plugins no corrige PHP2Shell. La falla está en PHP, el motor que hace funcionar todo lo demás, así que lo único que la arregla es actualizar PHP en el servidor.

¿Ya la están usando para atacar?

Sí. Equipos de inteligencia de amenazas de grandes empresas de nube reportaron un intento de ataque el 17 de octubre, cuatro días antes de que la falla se hiciera pública. Desde el anuncio, proveedores de seguridad han reportado tráfico de ataque dirigido a PHP2Shell. Algunos servicios de firewall web ya publicaron reglas para bloquear los ataques conocidos, pero son una protección temporal: los atacantes ajustan sus métodos, y solo la actualización de PHP cierra la falla de raíz.

Revisa tu web en 3 preguntas

1. ¿Qué tipo de hosting tienes?

Si tu web está en un hosting compartido o administrado de un proveedor grande, es muy probable que el proveedor ya haya actualizado PHP por ti. Varios proveedores anunciaron que lo hicieron en sus servidores administrados. Confírmalo en el panel o con su soporte. Si tienes un servidor VPS o dedicado, nadie lo va a actualizar por ti: PHP lo administras tú o quien te haya montado el servidor.

2. ¿Qué versión de PHP tiene tu sitio?

En WordPress la encuentras en Herramientas → Salud del sitio → Información → Servidor. En la mayoría de paneles de hosting aparece en la sección de configuración de PHP. Compárala con la tabla de arriba.

3. ¿Quién mantiene tu página web?

Esta es la pregunta que más pesa. Muchas webs en Colombia se hicieron hace años y nadie volvió a tocarlas, o siguen en una versión vieja de PHP porque "si la actualizo se daña". Si no sabes quién mantiene tu sitio, la respuesta probablemente es nadie.

Con esas tres respuestas, ubícate aquí:

Por qué no basta con "subir la versión de PHP"

Cambiar la versión de PHP en el panel toma un clic. El problema es lo que pasa después: plugins viejos que dejan de funcionar, temas que no son compatibles, formularios o pasarelas de pago que fallan en silencio. Por eso muchas webs se quedan en versiones antiguas: el miedo a romper algo es real.

La forma segura de hacerlo es ordenada: respaldo completo del sitio, revisión de compatibilidad de plugins y tema, actualización de PHP, y pruebas de las partes críticas (formularios, carrito, pagos, inicio de sesión) antes de dar el trabajo por terminado. Si algo falla, se vuelve al respaldo sin que el negocio se detenga. Si tu web es tu canal de ventas, esto pesa todavía más; lo explicamos en qué pasa con tu negocio si mañana cierra tu local.

¿No es esto puro miedo para vender mantenimiento?

Es una objeción justa, y la respuesta honesta es: depende de tu caso. Si tu web está en un hosting administrado serio y en una versión reciente de PHP, lo más probable es que ya estés protegido y no necesites contratar nada. Lo que sí vale la pena es confirmarlo, porque el costo de no saberlo es alto. El riesgo real está en los servidores que nadie administra y en las webs que llevan años sin una sola actualización. Para ellas, PHP2Shell no es la única falla abierta: es la que hizo ruido esta semana.

En resumen

• PHP2Shell son dos fallas críticas de PHP corregidas el 21 de octubre de 2026, y ya hay ataques en curso.
• Afectan a casi toda web en PHP, incluido WordPress. Actualizar plugins no las corrige: hay que actualizar PHP.
• Revisa tu tipo de hosting, tu versión de PHP y quién mantiene tu web. Con eso sabes tu nivel de riesgo.

Fuentes: Help Net Security · Wiz Research · BleepingComputer · CISA. Datos verificados al 22 de octubre de 2026.