Saltar al contenido
PHP2Shell (CVE-2026-109618 y CVE-2026-109619) · publicado el 21-oct-2026 · permite tomar el control del servidor sin usuario ni contraseña. Qué es y a quién afectaPHP2Shell: fallo crítico de PHP (21-oct-2026). Qué es
5 minutos · 6 pasos

Cómo subir el fichero de comprobación de PHP2Shell a TYPO3

TYPO3 se instala con Composer o en modo clásico, y el fichero va en un sitio distinto en cada caso.

  1. 1Descarga tu fichero
  2. 2Entra en los archivos de tu web
  3. 3Busca la carpeta correcta
  4. 4Sube el fichero
  5. 5Comprueba que responde
  6. 6Pulsa «Comprobar ahora»

¿Prefieres no tocar nada? Lo hacemos nosotros por 29,00 €. Da de alta tu web y, en tu panel, elige «Lo hacemos nosotros»: un técnico te llama y lo deja hecho.

Así se reconoce la carpeta

  • public (con Composer)
  • typo3
  • typo3conf
  • fileadmin
  • index.php
  1. 1

    Descarga tu fichero

    Entra en tu panel de PHP Seguro (el enlace te llegó por correo al dar de alta la web) y pulsa «Descargar el fichero». Se llama phpseguro-….php, con un código propio de tu web. No le cambies el nombre ni lo abras con Word.

    phpseguro.com/panel/…
    1 Descarga tu fichero de comprobación

    Está hecho solo para tudominio.es y lleva una clave única.

    Descargar el fichero
    phpseguro-a1b2c3d4e5f6.php 2 KB · descargado
    Tu panel: el botón de descarga está en el paso 1.
  2. 2

    Entra en los archivos de tu web

    Abre el panel de tu hosting y busca el administrador de archivos. En Plesk se llama «Archivos»; en cPanel, «Administrador de archivos». Si prefieres FTP, más abajo te explicamos cómo.

    Panel de tu hosting
    CorreoBases de datosAdministrador de archivosDominiosCertificados SSLCopias
    Cada hosting lo dibuja a su manera, pero siempre hay un apartado de archivos.
  3. 3

    Busca la carpeta correcta

    Con Composer (ves composer.json, vendor y una carpeta public): el fichero va dentro de public, junto a index.php y fileadmin.

    En modo clásico (ves typo3, typo3conf, fileadmin e index.php en la misma carpeta): va en esa carpeta.

    Administrador de archivos
    public_html Subir
    config
    publicábrela
    var
    vendor
    composer.json
    Ejemplo de TYPO3 con Composer. En modo clásico va junto a typo3 y fileadmin. El fichero va dentro de public.
  4. 4

    Sube el fichero

    Ya dentro de public_html/public, pulsa «Subir» (o «Cargar») y elige el fichero que descargaste. Tiene que aparecer en la lista con su nombre exacto.

    Administrador de archivos
    public_html / public Subir
    _assets
    fileadmin
    typo3temp
    .htaccess
    index.php
    phpseguro-a1b2c3d4e5f6.phpnuevo
    El fichero, junto a los de TYPO3. En Plesk la carpeta se llama httpdocs en lugar de public_html.
  5. 5

    Comprueba que responde

    Abre en el navegador la dirección del fichero (la tienes en el paso 2 de tu panel). Tiene que decir «instalado correctamente». Si sale otra cosa, mira qué hacer.

    tudominio.es/phpseguro-a1b2c3d4e5f6.php

    Fichero de comprobación de PHP Seguro instalado correctamente. Vuelve a tu panel y pulsa «Comprobar».

    Lo que tiene que salir: solo esta frase, sin la página de tu web alrededor.
  6. 6

    Pulsa «Comprobar ahora»

    Vuelve a tu panel y pulsa «Comprobar ahora». Preguntamos al fichero qué PHP ejecuta tu web: si incluye la corrección, el certificado sale al momento. Deja el fichero donde está: lo usamos para la revisión semanal.

    phpseguro.com/panel/…
    Comprobar ahora
    Certificado vigentePHP 8.3.36 · incluye la corrección de PHP2Shell
    PHPSeguroPHP verificado
    Con el certificado te damos el sello para tu web.

Otras formas de subirlo

Plesk

  1. Sitios web y dominios → Archivos.
  2. Abre httpdocs (o la carpeta de «Raíz de documentos» en Configuración de hosting).
  3. Cargar → Cargar archivo.

cPanel

  1. Abre el Administrador de archivos.
  2. Entra en public_html (un dominio adicional tiene su propia carpeta: la ves en Dominios).
  3. Pulsa Cargar.

Otros paneles

DirectAdmin, hPanel, IONOS, Dinahosting, Arsys, Raiola…: busca Administrador de archivos o Gestor de ficheros. La carpeta principal suele ser public_html, httpdocs, www o htdocs.

FTP o SFTP

  1. Conecta FileZilla con los datos que te dio tu hosting.
  2. A la derecha, entra en la carpeta de tu web.
  3. Arrastra el fichero desde tu ordenador.

¿No tienes acceso a nada de esto? Reenvía el correo con el enlace a tu panel a quien te lleve la web, junto con esta guía: lo tendrá hecho en un par de minutos.

Cuidado con

  • No lo pongas en fileadmin ni en typo3temp: el .htaccess de TYPO3 bloquea los PHP de ahí.
  • Si la web se despliega con Git o con una herramienta de despliegue, añade el fichero al proyecto en public para que no se borre en el siguiente despliegue.

Si no funciona

«No encontrado» (404)

Está en otra carpeta o con otro nombre. Mira que no se llame phpseguro-…(1).php (pasa si lo descargaste dos veces) ni ….php.txt (Windows esconde las extensiones).

Sale la portada de tu web

La web no encuentra el fichero y enseña su página de inicio. Revisa la carpeta.

«Acceso prohibido» (403)

Un plugin de seguridad, el cortafuegos del hosting o una regla del servidor bloquea los ficheros PHP sueltos. Añade el fichero a sus excepciones o pídeselo a tu hosting.

Se descarga, o ves su texto

El servidor no ejecuta ese fichero. Bórralo y pide a quien lleve el servidor que lo permita.

Funciona, pero al rato desaparece

El antivirus del hosting (Imunify360 u otro) lo ha retirado por ser un PHP nuevo. Es el nuestro y puedes leerlo entero: pide al hosting que lo permita.

Responde, pero la comprobación falla

Si usas Cloudflare con la protección contra bots o el modo de ataque activados («Bot Fight» o «Under Attack», así se llaman en su panel), puede estar parando nuestra petición. Crea una regla que deje pasar ese fichero.

¿Sigue sin ir? Llámanos al 655 48 81 04 o escribe a info@ibepartner.es con el enlace a tu panel y lo miramos.

¿Aún no has dado de alta tu web?

Es gratis. Te damos el fichero al momento y, si tu PHP está corregido, te llevas el certificado y el sello.

Comprobar mi web