PHP2Shell: qué pasó con PHP y qué hacer si tu web es WordPress

Tabla de contenidos

Hoy, mientras tú respondías emails, medio internet estaba actualizando servidores a toda prisa. No es exageración: la gran mayoría de webs del mundo funcionan con PHP, incluidas todas las que usan WordPress. Y PHP acaba de corregir dos de los fallos más graves de su historia.

Te contamos qué pasó, en lenguaje de persona normal, y qué tienes que hacer si tu web es WordPress.

Información actualizada a 21 de octubre de 2026. Es una noticia en desarrollo: revisa los avisos oficiales de PHP y de tu proveedor de hosting.

La respuesta corta

El 21 de octubre de 2026, el equipo de PHP publicó un parche de emergencia para dos vulnerabilidades críticas, conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), con una gravedad de 9,2 sobre 10. Permiten que un atacante ejecute código en el servidor sin necesidad de contraseña. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu web es WordPress, lo urgente es confirmar con tu hosting que tu servidor ya está actualizado.

Qué es PHP y por qué te afecta

PHP es el lenguaje en el que está hecho WordPress, y también buena parte de los gestores de contenido, tiendas online y aplicaciones web que hay por ahí. No lo ves, pero está detrás de cada página que carga tu web.

Por eso un fallo en PHP no es un fallo «de tu web». Es un fallo de la base sobre la que está construida. Da igual lo bonito que sea tu diseño o lo actualizados que tengas los plugins: si el motor tiene un agujero, el agujero está.

Qué pasó exactamente

  • Dos fallos críticos en el núcleo de PHP. Ambos permiten ejecutar código de forma remota, que es la peor categoría posible: alguien de fuera podría tomar el control del servidor.
  • Afectan a muchísimas versiones. Según los investigadores que los analizaron, el problema alcanza versiones de PHP de la última década.
  • La noticia se filtró antes de tiempo. El parche estaba previsto para el 22 de octubre, pero los detalles se filtraron y PHP adelantó la publicación al 21.
  • Ya hay intentos de ataque. Empresas de seguridad informaron de intentos de explotación el mismo día de la publicación.
  • Un detalle curioso: parte de la investigación que confirmó la gravedad de los fallos se hizo con ayuda de herramientas de inteligencia artificial. La IA no solo escribe textos: también encuentra agujeros. Para los buenos y para los malos.

Qué hacer hoy si tu web es WordPress

Si tienes hosting gestionado

Muchos proveedores de hosting están parcheando sus servidores por su cuenta. Pero «muchos» no es «todos», y no todos lo hacen a la misma velocidad. Escribe al soporte de tu hosting y pregunta, literalmente: «¿Mi servidor ya tiene PHP 8.3.36 (o la versión corregida que corresponda) o las mitigaciones para CVE-2026-109618 y CVE-2026-109619?». Que te lo confirmen por escrito.

Si gestionas tu propio servidor

Actualiza PHP a la versión corregida de tu rama y reinicia el servicio. Si todavía no puedes actualizar, revisa las mitigaciones temporales que recomienda PHP en su aviso oficial. No es lo ideal, pero reduce el riesgo mientras tanto.

Si usas una versión de PHP muy antigua

Aquí está el problema de verdad. Si tu web funciona con una versión de PHP que ya no recibe soporte, puede que no haya parche para ti. Es el momento de actualizar, aunque implique revisar que tu tema y tus plugins sean compatibles.

Cómo saber qué versión de PHP usa tu web

  • En WordPress, ve a Herramientas → Salud del sitio → Información → Servidor. Ahí aparece la versión de PHP.
  • En el panel de tu hosting, normalmente en un apartado de configuración de PHP.
  • O pregúntale directamente a tu proveedor. Es su trabajo saberlo.

Y después del parche, revisa

Si tu servidor estuvo expuesto, actualizar cierra la puerta, pero no te dice si alguien entró antes. Algunas señales a vigilar:

  • Usuarios administradores que no reconoces.
  • Archivos nuevos o modificados que nadie tocó.
  • Redirecciones raras o páginas que no creaste apareciendo en Google.
  • Avisos del escáner de malware de tu hosting.

Si ves algo de esto, cambia todas las contraseñas (WordPress, FTP, base de datos y panel del hosting) y pide una revisión de seguridad.

La lección de fondo

Una web no es un folleto que imprimes una vez y te olvidas. Es software, y el software necesita mantenimiento. Lo de hoy es un caso extremo, pero los fallos de seguridad aparecen todo el tiempo, en PHP, en WordPress y en cada plugin que instalas.

En Flamingo Agency lo vivimos de cerca, porque mantenemos webs WordPress para pymes. Si no tienes claro si la tuya está al día, escríbenos y te decimos qué revisar.

") O en un plugin tipo "Insert Headers and Footers" ============================================ */document.addEventListener('DOMContentLoaded', function () {/* 1. Crear los elementos del cursor una sola vez */ var glow = document.createElement('div'); glow.id = 'custom-cursor-glow'; document.body.appendChild(glow);var cursor = document.createElement('div'); cursor.id = 'custom-cursor'; cursor.innerHTML = ''; document.body.appendChild(cursor);var cursorIcon = cursor.querySelector('i'); var cursorText = cursor.querySelector('span');/* 2. Config por variante: tamaño del circulo y tamaño de fuente al activarse */ var VARIANT_SIZE = { 'cursor-solid': 72, 'cursor-gradient': 72, 'cursor-glass': 66, 'cursor-outline': 66, 'cursor-square': 80, 'cursor-blur': 74, 'cursor-glow': 60, 'cursor-icon': 76 }; var VARIANT_FONT = { 'cursor-solid': 11, 'cursor-gradient': 11, 'cursor-glass': 11, 'cursor-outline': 10, 'cursor-square': 11, 'cursor-blur': 10, 'cursor-glow': 11, 'cursor-icon': 9 }; var ALL_VARIANTS = Object.keys(VARIANT_SIZE);/* 3. Movimiento con retardo (lerp) */ var mouseX = 0, mouseY = 0; var curX = 0, curY = 0; var ease = 0.16; var currentSize = 0; var targetSize = 0; var glowExtra = 30;document.addEventListener('mousemove', function (e) { mouseX = e.clientX; mouseY = e.clientY; });function loop() { curX += (mouseX - curX) * ease; curY += (mouseY - curY) * ease; currentSize += (targetSize - currentSize) * ease;cursor.style.opacity = currentSize > 0.5 ? '1' : '0'; cursor.style.width = currentSize + 'px'; cursor.style.height = currentSize + 'px'; cursor.style.transform = 'translate(' + (curX - currentSize / 2) + 'px,' + (curY - currentSize / 2) + 'px)'; var glowSize = currentSize > 0 ? currentSize + glowExtra : 0; glow.style.width = glowSize + 'px'; glow.style.height = glowSize + 'px'; glow.style.transform = 'translate(' + (curX - glowSize / 2) + 'px,' + (curY - glowSize / 2) + 'px)';requestAnimationFrame(loop); } loop();/* 4. Detectar hover sobre cualquier elemento con alguna clase cursor-* */ var selector = ALL_VARIANTS.map(function (v) { return '.' + v; }).join(', ');document.addEventListener('mouseover', function (e) { var target = e.target.closest(selector); if (!target) return;var variant = ALL_VARIANTS.find(function (v) { return target.classList.contains(v); }); if (!variant) return;/* limpia variantes anteriores y aplica la actual */ ALL_VARIANTS.forEach(function (v) { cursor.classList.remove(v); }); ALL_VARIANTS.forEach(function (v) { document.body.classList.remove(v); }); cursor.classList.add(variant); document.body.classList.add(variant, '__active'); target.classList.add('__active');targetSize = VARIANT_SIZE[variant] || 70;var text = target.getAttribute('data-cursor-text') || ''; var iconClass = target.getAttribute('data-cursor-icon') || ''; cursorText.textContent = text; cursorText.style.fontSize = text ? (VARIANT_FONT[variant] || 11) + 'px' : '0px'; cursorIcon.className = iconClass; cursorIcon.style.fontSize = iconClass ? (variant === 'cursor-icon' ? 16 : 14) + 'px' : '0px'; });document.addEventListener('mouseout', function (e) { var target = e.target.closest(selector); if (!target) return; var related = e.relatedTarget; if (related && target.contains(related)) return;target.classList.remove('__active'); document.body.classList.remove('__active'); ALL_VARIANTS.forEach(function (v) { document.body.classList.remove(v); }); targetSize = 0; cursorText.style.fontSize = '0px'; cursorIcon.style.fontSize = '0px'; });});