Esta semana se publicaron parches urgentes para PHP2Shell, el nombre con el que se conoce a un grupo de vulnerabilidades críticas en PHP, el lenguaje con el que funcionan WordPress y la mayoría de webs del mundo. Si tienes una web, un blog o una tienda online, te interesa saber qué ha pasado y, sobre todo, cómo comprobar en dos minutos si tu servidor ya está protegido.

El problema no está en un plugin ni en una plantilla, sino en el propio PHP, así que afecta por igual a WordPress, Drupal, Joomla, Magento o cualquier otra plataforma basada en este lenguaje. Además, el código para aprovechar uno de los fallos ya circulaba antes de que existiera el parche, por lo que conviene actuar rápido, aunque sin caer en el pánico.

¿Qué ha pasado exactamente con PHP2Shell?

El núcleo de la alerta responde inicialmente a dos vulnerabilidades catalogadas como críticas: CVE-2026-109618 y CVE-2026-109619. Ambas cuentan con una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS v4.0. La gravedad radica en que permiten la ejecución remota de código (RCE) sin necesidad de que el atacante disponga de credenciales o autenticación previa. Es decir, un intruso podría tomar el control de un servidor enviando solicitudes diseñadas específicamente para aprovechar este fallo.

Aunque el parche oficial de emergencia se liberó el 21 de octubre de 2026 tras una filtración imprevista, la situación sumó una nueva complicación el 23 de octubre con la publicación de una tercera vulnerabilidad vinculada, identificada como CVE-2026-115560. Los entornos más expuestos a los ataques de PHP2Shell son aquellos servidores configurados con Apache y el módulo mod_php, aunque las instalaciones con PHP-FPM, FrankenPHP, LiteSpeed o php-cgi también presentan riesgos evidentes.

A quién afecta esta incidencia en España y Europa

El alcance es enorme: al tratarse de un fallo en el núcleo de PHP, cualquier web que no haya recibido el parche está expuesta, desde un blog personal hasta una tienda online con pasarela de pago. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) llegó a recomendar desconectar los sistemas que no pudieran actualizarse de inmediato, y Cloudflare publicó reglas en su cortafuegos para bloquear los ataques conocidos, disponibles incluso en su plan gratuito.

En España, donde WordPress sostiene buena parte de los medios digitales y de los negocios online, la recomendación es la misma que en el resto del mundo: cualquier web que ejecute PHP sin las revisiones publicadas esta semana debe actualizarse cuanto antes.

Hosting gestionado vs VPS: cómo se aplica la solución

La forma en la que debes afrontar el problema de PHP2Shell depende por completo de la infraestructura en la que esté alojada tu web. No todos los usuarios deben intervenir de la misma manera:

• Hostings compartidos y gestionados: Si tienes tu web en un proveedor gestionado, las empresas de alojamiento suelen encargarse del mantenimiento a nivel de sistema operativo. En muchos casos, los administradores aplican lo que se conoce como un «backport» (un parche de seguridad adaptado al paquete del sistema sin subir la versión principal de PHP). Por tanto, es posible que tu panel siga mostrando una versión habitual mientras el fallo ya ha sido subsanado internamente.
• Servidores VPS o dedicados: Si administras tu propia máquina en la nube con distribuciones como Ubuntu o Debian, la responsabilidad recae sobre ti. No basta con esperar: debes acceder por consola y forzar la actualización de los paquetes mediante los repositorios oficiales o compilar la versión saneada de forma manual.

Qué debes comprobar en tu web para estar protegido

Para considerar un entorno completamente a salvo de la vulnerabilidad PHP2Shell, el intérprete debe encontrarse en las siguientes versiones oficiales o superiores: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para ramas antiguas que ya no disponen de soporte regular (como PHP 7.4, 8.0 y 8.1), el proyecto ha facilitado parches excepcionales que las distribuciones están integrando.

Si deseas comprobarlo, entra en el panel de tu hosting o revisa la función phpinfo(). Ojo con un detalle: en los hostings gestionados el número de versión puede no cambiar. Por ejemplo, Hostinger aplicó el parche el 22 de octubre sobre la misma versión, así que una web que muestre PHP 8.5.11 puede estar protegida. Lo que hay que mirar es la fecha de compilación (Build Date) en la sección PHP Info del panel: si es del 21 de octubre de 2026 o posterior, ya tienes el parche. Si tienes dudas, pregunta directamente al soporte de tu proveedor. Y si gestionas tu propio servidor, actualiza los paquetes de PHP y reinicia el servicio web cuanto antes.