PHP2Shell: qué significa la gran filtración de PHP para tu web, y cuándo toca renovarla

El 20 de octubre de 2026 se filtraron los detalles de dos fallos de seguridad críticos en PHP, un día antes de que saliera el parche. A la mañana siguiente ya había ataques en marcha. En los Países Bajos, varias webs, entre ellas Tweakers, la del Congreso neerlandés y la del centro nacional de ciberseguridad (NCSC), se desconectaron por precaución.

PHP es el lenguaje de programación sobre el que funcionan WordPress, Joomla, Drupal, PrestaShop y una gran parte de internet. TechCrunch habla de alrededor del 70 por ciento. Así que, si tienes web, es muy posible que esto vaya contigo.

En este artículo te explicamos qué pasó sin tecnicismos, qué comprobar hoy y por qué es buen momento para preguntarte si tu web debe seguir hecha como está.

Qué ha pasado

Los dos fallos se conocen como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Están en el propio PHP, no en un plugin ni en una plantilla. El equipo de seguridad de PHP los valoró con un 9,2 sobre 10. Lo grave: un atacante puede ejecutar su propio código en tu servidor con una sola petición, sin contraseña y sin que nadie haga clic en nada.

La cronología, según las empresas de seguridad Sansec y Patchstack y según TechCrunch:

• Agosto de 2026: investigadores de Calif y Wiz encuentran los fallos y los comunican a PHP. Los parches se preparan con discreción para que los proveedores de hosting puedan actualizar primero.
• 20 de octubre: se filtran los detalles, antes de la publicación prevista.
• 21 de octubre, 07:43 UTC: Cloudflare detecta los primeros ataques, horas antes de que el parche sea público.
• 21 de octubre, 14:00 UTC: PHP publica las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Amazon recomendó buscar indicios de ataques desde el 17 de octubre. Según Wiz, todas las versiones de PHP desde la 5.4 están afectadas por al menos uno de los dos fallos.

¿Mi web está afectada?

Si tu web funciona con PHP y el servidor no se ha actualizado desde el 21 de octubre, sí. Da igual lo bien que tengas mantenido WordPress: el problema está por debajo. Wiz demostró el ataque sobre una instalación de WordPress totalmente actualizada.

Las webs con más riesgo son las que ya nadie cuida:

• la web que se hizo hace cinco años y desde entonces funciona "sola";
• el hosting compartido donde no puedes elegir ni ver la versión de PHP;
• los servidores con PHP 8.1 o anterior. Esas versiones ya no reciben actualizaciones oficiales. Algunos proveedores de hosting y distribuciones de Linux han adaptado el parche por su cuenta, pero no todos.

Qué hacer hoy

1. Pregunta a tu proveedor de hosting o a tu agencia con qué versión de PHP funciona tu web y si el parche de PHP2Shell está instalado. Una respuesta concreta es buena señal. "Lo miramos" no lo es.
2. Con PHP 8.1 o anterior: pregunta si tu hosting ha adaptado el parche. Si no, actualizar ya no es opcional.
3. No instales plugins "de arreglo" ni fragmentos de código de foros. El fallo está en el propio PHP, y solo una actualización de PHP lo corrige.
4. Si estuviste días sin parche, trata el servidor como posiblemente comprometido: cambia tus contraseñas y revisa si hay cuentas de administrador que no reconoces.

Por qué es buen momento para replantear tu web

PHP2Shell se parcheará y se olvidará. El próximo fallo crítico llegará igual, en PHP o en otro sitio. La pregunta de verdad no es "¿estoy parcheado ahora?", sino "¿cuánto puede salir mal en mi web, y quién la mantiene al día?"

Y eso depende mucho de cómo esté hecha.

HTML puro. Una web de archivos estáticos. Cuando alguien la visita, no se ejecuta código en el servidor: no hay base de datos ni acceso de administrador. Un fallo como PHP2Shell sencillamente no tiene nada que atacar. Para una web de presentación, un portfolio o una landing que cambia poco, es la opción más rápida y segura que hay. La pega: cambiar un texto es un pequeño encargo a tu agencia, salvo que añadamos un editor sencillo.

Next.js. Un framework moderno que convierte la mayoría de páginas en archivos ya preparados y los sirve desde una red global. No lleva PHP ni panel de WordPress. Encaja con webs de más páginas, varios idiomas, un blog o un módulo de reservas. Seamos sinceros: Next.js tampoco es inmune. El pasado diciembre el fallo React2Shell también obligó a actualizar de urgencia. La diferencia es que hay mucha menos superficie de ataque y no hay un montón de plugins de distintos fabricantes que mantener al día.

WordPress, bien llevado. WordPress no es malo, y lo seguimos usando cuando un cliente quiere editar mucho por su cuenta. Pero entonces necesita un hosting gestionado que aplique los parches de PHP en horas, pocos plugins y alguien que lo revise cada mes. Un WordPress sin mantenimiento es justo la web para la que se hizo PHP2Shell.

¿Cuándo merece la pena rehacerla?

No siempre. Un WordPress bien mantenido y en un buen hosting puede durar años. Rehacerla merece la pena cuando:

• tu web funciona con PHP 8.1 o anterior y actualizar rompe la plantilla o los plugins;
• casi nunca cambias tú el contenido, pero sigues pagando y manteniendo un CMS entero;
• tu web va lenta y ya pensabas en un diseño nuevo;
• nadie sabe decirte quién mantiene tu servidor.

En esos casos, una web en HTML puro o en Next.js suele salir más barata de mantener que seguir parcheando la antigua.

¿Quieres saber cómo está tu web? Reserva la llamada. Revisamos tu versión de PHP y tu hosting, y te decimos con franqueza si lo más sensato es mantenerla, moverla o rehacerla.

Fuentes

• Patchstack: alerta de seguridad, PHP vulnerable a RCE crítico con ataques en curso (en inglés)
• Sansec: PHP2Shell, PHP RCE (CVE-2026-109618, CVE-2026-109619) (en inglés)
• TechCrunch: PHP-ocalypse, cómo dos fallos críticos casi rompen internet (en inglés)
• The Hacker News: PHP2Shell, dos fallos críticos de RCE en PHP (en inglés)
• watchTowr: preguntas frecuentes sobre CVE-2026-109618 (en inglés)

Noah WinkelmanSelva Digital

Construye webs y los sistemas que hay detrás para pequeños negocios de España y los Países Bajos. Deja por escrito lo que los clientes preguntan dos veces.