PHP2Shell: el fallo de PHP que permite tomar el control del servidor

El 21 de octubre de 2026 se publicaron dos fallos de PHP, CVE-2026-109618 y CVE-2026-109619, conocidos como PHP2Shell. Permiten que alguien de fuera tome el control del servidor sin usuario ni contraseña.

A quién afecta

A cualquier web que funcione con PHP sin la versión corregida: WordPress, WooCommerce, Prestashop, Joomla, Drupal, Moodle y la mayoría de webs a medida. No depende de los plugins ni del tema: el fallo está en PHP, que es lo que ejecuta la web en el servidor.

Qué versiones lo corrigen

PHP publicó la corrección para las ramas que todavía reciben actualizaciones de seguridad:

Si tu web está en PHP 8.1 o anterior, no habrá parche: la única solución es pasarla a una rama vigente (recomendamos PHP 8.3 o 8.4) y adaptar el código que haga falta.

Cómo saber si tu web está expuesta

Hay que saber qué versión de PHP ejecuta de verdad tu web. Desde fuera no es fiable: muchas webs no la dicen y otras dicen una que no es. Por eso nuestra comprobación se hace desde dentro, con un pequeño fichero que subes a tu web y que solo nos responde a nosotros. Te lo explicamos aquí.

Qué hacer si está expuesta

1. Pide a tu hosting o a quien lleve tu web que actualice PHP a la versión corregida de su rama (la tabla de arriba).
2. Si está en una rama sin parche, hay que migrarla a PHP 8.3 o superior. Conviene probarla antes en una copia: el código antiguo suele necesitar cambios.
3. Vuelve a comprobarla. Si está corregida, obtendrás tu certificado.

Si no tienes a nadie que lo haga, desde tu panel puedes pedir que lo hagamos nosotros, con presupuesto cerrado antes de tocar nada.