La web carga, los formularios reciben consultas y la tienda sigue vendiendo como si nada. Así que el mantenimiento web, como siempre, puede esperar, ¿verdad?.

Muchas empresas lo dejan para más adelante o pasan de contratar el mantenimiento web a su agencia web y es por una razón: mientras nada falla a simple vista, cuesta priorizar una revisión técnica. El problema es que una web puede parecer que funciona bien y llevar tiempo acumulando actualizaciones pendientes, incompatibilidades y riesgos que nadie está vigilando.

PHP2Shell ha vuelto a poner ese descuido en primer plano.

PHP2Shell afecta al servidor, no solo a WordPress

El 21 de octubre de 2026, el equipo de PHP publicó parches para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. En determinadas instalaciones, pueden permitir que un atacante ejecute código en el servidor sin iniciar sesión. El aviso oficial señala que el riesgo alcanza a las instalaciones de PHP que reciben peticiones web. PHP publicó las versiones corregidas y las recomendaciones de actualización.

Esto afecta a webs hechas con WordPress, PrestaShop, Laravel y otras tecnologías que funcionan sobre PHP. El fallo está en el propio PHP, la capa que ejecuta la web.

Por eso, actualizar WordPress, PrestaShop o sus plugins no corrige por sí solo PHP2Shell. Como explica también PrestaShop en su aviso para comerciantes, la actualización debe aplicarse en el servidor, normalmente por parte del proveedor de hosting o de quien lo administra.

La dejadez empieza cuando nadie sabe quién debe revisarlo

En muchas empresas, la web se reparte entre varias personas: alguien gestiona el hosting, otra persona actualiza el contenido y una agencia hizo el desarrollo hace tiempo. Mientras todo parece ir bien, es fácil que una tarea importante quede en tierra de nadie.

Entonces llegan avisos como PHP2Shell y aparecen preguntas urgentes:

  • ¿Qué versión de PHP utiliza realmente mi web?
  • ¿La ha actualizado el hosting?
  • ¿Quién comprueba que el cambio se haya aplicado correctamente?
  • Si la web usa una versión antigua, ¿hay un parche del proveedor o hace falta migrarla?

No tener estas respuestas no significa que la web haya sido atacada. Sí significa que cuesta más reaccionar y comprobar qué medidas hacen falta.

Qué conviene hacer ahora

1. Pregunta a tu hosting qué versión de PHP ejecuta tu web.
Pide que te confirmen que la instalación está corregida para PHP2Shell. La versión que aparece en una herramienta o panel no siempre refleja todos los detalles del servidor.

2. Si usas PHP 8.1 o anterior, consulta qué opciones tienes.
Esas versiones ya no reciben actualizaciones del proyecto PHP, aunque algunos proveedores ofrecen parches propios. Si no existe un parche adecuado, habrá que planificar la migración a una versión con soporte.

3. Revisa también el CMS, los plugins, los temas y las copias de seguridad.
No corrigen esta vulnerabilidad del servidor, pero forman parte del mantenimiento necesario para reducir otros riesgos y evitar que una web se quede obsoleta.

4. Decide quién se encarga y cuándo se revisa.
Una revisión periódica con responsables claros ayuda a detectar actualizaciones pendientes antes de que se conviertan en una urgencia.

Esperar a que la web falle también tiene un coste

Aplazar el mantenimiento puede convertir una revisión planificada en una incidencia urgente, con interrupciones, trabajo imprevisto y dudas sobre la seguridad de la web. Y cuanto más tiempo pasa sin saber quién gestiona cada parte, más difícil resulta responder rápido.

PHP2Shell no significa que todas las webs estén comprometidas. Significa que ahora hay una comprobación concreta que conviene hacer y que actualizar plugins no es suficiente.

¿No sabes qué versión de PHP utiliza tu web o quién la mantiene? En Clicksun podemos ayudarte a revisarlo. Envíanos la dirección de tu web y lo vemos contigo. https://clicksun.com/contacto

Preguntas frecuentes sobre PHP2Shell

¿Qué es PHP2Shell?

Es el nombre que se utiliza para dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. En una instalación vulnerable, podrían permitir que un atacante ejecute código en el servidor sin iniciar sesión.

¿PHP2Shell afecta a WordPress y PrestaShop?

Puede afectar a cualquier web que utilice una instalación vulnerable de PHP para atender peticiones, incluidas webs hechas con WordPress, PrestaShop, Laravel y otras tecnologías. El fallo está en PHP, no en un plugin concreto.

¿Actualizar WordPress y los plugins soluciona el problema?

No por sí solo. PHP se actualiza en el servidor, normalmente desde el panel del hosting o por parte de quien lo administra. Mantener actualizado el CMS y sus extensiones sigue siendo importante, pero es una tarea distinta.

¿Cómo puedo saber si mi web está protegida?

Pregunta a tu hosting qué versión de PHP ejecuta la web y si ya aplicó la corrección para PHP2Shell. Pide que lo confirme para el servidor que atiende tu página, ya que no siempre basta con mirar una versión instalada en otro entorno.

¿Qué versiones de PHP incluyen la corrección?

El proyecto PHP publicó las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 como corregidas. También puede haber paquetes de proveedores con parches retroportados.

Fuentes utilizadas del artículo:

PHP: aviso oficial de seguridad y versiones corregidas — vulnerabilidades, versiones afectadas y recomendaciones de actualización.
PrestaShop: qué deben saber los comercios sobre PHP2Shell — aclara que actualizar PrestaShop o sus módulos no corrige PHP; la actualización se gestiona en el servidor.
CERT-EU / NCSC-NL: información operativa sobre PHP2Shell https://github.com/NCSC-NL/php2shell — versiones corregidas, parches retroportados y acciones recomendadas.
Ubuntu: parches disponibles para PHP2Shell — ejemplo de correcciones retroportadas para versiones antiguas de PHP.