En resumen: el 20 de octubre de 2026 se filtró una vulnerabilidad crítica en PHP (en realidad son dos fallas), el lenguaje con el que funcionan WordPress, WooCommerce y millones de páginas web. Les dicen php2shell porque permiten que un desconocido tome el control de tu servidor con una simple visita a tu página, sin usuario ni contraseña. El 21 de octubre salió la corrección. Si tu sitio usa PHP (y si es WordPress, sí lo usa), tienes que actualizar hoy. Aquí te explicamos qué pasó en lenguaje sencillo, cómo saber si estás en riesgo y qué hacer paso a paso.
¿Qué es php2shell, la vulnerabilidad crítica en PHP de la que todos hablan?
Imagina que tu página web es una tienda y PHP es el edificio donde está. Hasta ahora, los ladrones buscaban una ventana mal cerrada en tu tienda (un plugin viejo, una contraseña débil). Esta vez el problema está en los cimientos del edificio: no importa qué tan bien cuides tu tienda, si el edificio tiene la falla, la puerta está abierta.
Las dos vulnerabilidades se llaman oficialmente CVE-2026-109618 and CVE-2026-109619. El equipo de seguridad de PHP las calificó con 9.2 de 10 en gravedad (nivel crítico). Los investigadores las bautizaron como php2shell porque, en palabras simples, alguien manda una petición a tu página y obtiene una “terminal” para dar órdenes dentro de tu servidor.
Lo más delicado: la información se filtró antes de que existiera la corrección. Alguien publicó los detalles en Internet antes de tiempo, así que PHP tuvo que adelantar la actualización de emergencia.
¿Qué pasó, día por día?
- 20 de octubre, en la mañana: aparece en un foro de programadores el aviso de dos fallas críticas en PHP. Lo borran, pero las capturas de pantalla ya circulaban en redes.
- 20 de octubre, horas después: la firma de seguridad watchTowr confirma que la filtración es real, y el equipo de PHP anuncia una actualización de emergencia para el día siguiente (originalmente estaba planeada para el jueves).
- 21 de octubre, 7:30 am hora del centro de México: PHP publica las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- 21 de octubre: la empresa de ciberseguridad Huntress reporta que todavía no ve ataques entre sus clientes, pero otros investigadores ya reportan los primeros intentos. La ventana para actualizar con calma se está cerrando.
¿Mi página web está en riesgo?
Si tu sitio está hecho en WordPress, WooCommerce, Joomla, Drupal o Magento, funciona con PHP. Según el aviso oficial, todas las instalaciones de PHP que atienden visitas web están en riesgo, sin importar si tu hosting usa Apache, LiteSpeed, PHP-FPM u otra configuración. En el caso de una configuración muy común (Apache con mod_php), el ataque puede ejecutarse antes de que tu WordPress siquiera cargue, así que ningún plugin de seguridad dentro de WordPress lo puede detener por sí solo.
| Tu versión de PHP | ¿Hay corrección? | Qué hacer |
|---|---|---|
| PHP 8.5 | Sí | Actualizar a 8.5.12 o superior |
| PHP 8.4 | Sí | Actualizar a 8.4.27 o superior |
| PHP 8.3 | Sí | Actualizar a 8.3.36 o superior |
| PHP 8.2 | Sí | Actualizar a 8.2.35 o superior |
| PHP 8.1, 8.0, 7.4 o anterior | Sin actualización oficial | Migrar a una versión soportada lo antes posible o pedir a tu hosting un parche especial |
Fuente: aviso oficial de PHP y reporte de Huntress del 21 de octubre de 2026.
¿Qué puede hacer un atacante si entra?
Tomar el control del servidor significa que puede hacer prácticamente lo que quiera con tu página:
- Robar la base de datos: clientes, correos, pedidos y teléfonos.
- Crear usuarios administradores falsos para volver cuando quiera.
- Llenar tu sitio de páginas de spam que hunden tu posicionamiento en Google.
- Redirigir a tus visitantes a sitios fraudulentos o usar tu servidor para atacar a otros.
- Instalar “puertas traseras” que sobreviven aunque restaures la página.
No es teoría. En las últimas semanas en Metamedia hemos limpiado sitios WordPress de empresas mexicanas que estaban comprometidos desde hacía meses, con administradores falsos y archivos maliciosos escondidos. Los dueños no lo sabían porque la página se veía normal.
Cómo actualizar PHP en WordPress hoy: checklist en 7 pasos
- Revisa qué versión de PHP tienes. En WordPress entra a Herramientas → Salud del sitio → Información → Servidor. Ahí aparece la versión de PHP.
- Actualiza PHP o pídeselo a tu hosting hoy mismo. En cPanel suele estar en “Seleccionar versión de PHP” o “MultiPHP Manager”. Si no tienes acceso, manda un ticket a tu proveedor pidiendo explícitamente la versión corregida (8.3.36, 8.4.27, etc.).
- Si tienes PHP 8.1 o anterior, migra. Esas versiones ya no reciben correcciones oficiales. Antes de cambiar, haz un respaldo y prueba que tu tema y plugins funcionen con la versión nueva.
- Haz un respaldo completo antes y después. Archivos y base de datos, guardados fuera del servidor.
- Revisa tus usuarios administradores. At Usuarios, filtra por “Administrador”. Si ves alguno que no reconoces, es una señal de alerta.
- Actualiza WordPress, tu tema y tus plugins. La falla está en PHP, pero los atacantes aprovechan cualquier puerta abierta extra.
- Cambia contraseñas de WordPress, hosting y base de datos si tienes la menor sospecha de que algo raro pasó.
Señales de que tu página ya pudo haber sido atacada
No necesitas ser técnico para notar estas señales:
- Aparecen en Google páginas de tu dominio que tú nunca creaste (busca site:tudominio.com).
- Hay administradores o archivos nuevos que nadie de tu equipo agregó.
- Tu sitio se volvió lento de repente o tu hosting te avisa de uso excesivo de recursos.
- Algunos visitantes son enviados a otras páginas o ven anuncios extraños.
- Google Search Console o tu antivirus te avisan de “contenido malicioso”.
Si ves cualquiera de estas, no borres nada todavía: guarda una copia, aísla el sitio y busca ayuda profesional para limpiarlo sin perder evidencia.
Actualizar es urgente, pero no es suficiente
Actualizar PHP cierra esta puerta. Pero cada mes aparecen fallas nuevas en plugins, temas y servidores. La diferencia entre un susto y una crisis es tener a alguien vigilando y un sitio blindado de antemano, para que una falla nueva no se convierta en un hackeo.
Así blindamos WordPress en Metamedia
Es el mismo protocolo que aplicamos en los sitios de nuestros clientes después de limpiar hackeos reales:
- Firewall y antimalware configurados a la medida, para frenar ataques antes de que lleguen a tu WordPress.
- Login escondido y protegido contra ataques de fuerza bruta.
- Bloqueo de ejecución de código en las carpetas donde se suben imágenes (el escondite favorito de los atacantes).
- Cabeceras de seguridad y desactivación de accesos que casi nadie usa pero los atacantes sí (como XML-RPC).
- Auditoría de usuarios y archivos: eliminamos administradores falsos y “puertas traseras”.
- Respaldos diarios fuera del servidor y actualizaciones probadas una por una, para que tu sitio no se caiga al actualizar.
- Limpieza incluida si alguien logra entrar.
Conoce el servicio de Seguridad web Metamedia.
Vigilancia 24/7: NOC y SOC
Un NOC (centro de monitoreo) vigila que tu página no se caiga; un SOC (centro de seguridad) vigila que nadie se meta. Con nuestro servicio NOC/SOC Hub, si mañana sale otra falla como php2shell, nosotros la detectamos, actualizamos y te avisamos. Tú sigues vendiendo.
Y además: CRM gratis
Proteger tu página es proteger los datos de tus clientes. Por eso también te damos Metamedia CRM gratis para siempre, hasta 5 usuarios, para que organices tus prospectos y clientes en un lugar seguro, en lugar de hojas de Excel o chats sueltos.
¿No sabes qué versión de PHP tienes o si tu sitio ya está comprometido?
Te hacemos un free diagnosis de tu página: revisamos tu versión de PHP, usuarios, plugins y señales de hackeo, y te decimos en lenguaje claro qué hay que corregir. Además te activamos tu CRM gratis.
Preguntas frecuentes sobre php2shell
¿Qué es php2shell?
Es el nombre con el que se conocen dos vulnerabilidades críticas en PHP (CVE-2026-109618 y CVE-2026-109619) filtradas el 20 de octubre de 2026. Permiten que un atacante ejecute código en el servidor de una página web sin necesidad de usuario ni contraseña.
¿Afecta a WordPress?
Sí. WordPress funciona con PHP, así que cualquier sitio WordPress en una versión de PHP sin corregir está expuesto. La falla está en PHP, no en WordPress, por lo que la solución es actualizar PHP en el servidor.
¿Qué versiones de PHP corrigen el problema?
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores ya no reciben actualizaciones oficiales.
¿Un plugin de seguridad me protege?
Ayuda, pero no basta. En algunas configuraciones el ataque ocurre antes de que WordPress cargue, así que la única protección real es actualizar PHP y, además, tener firewall a nivel servidor y vigilancia constante.
¿Cómo sé qué versión de PHP tengo?
En el panel de WordPress ve a Herramientas, Salud del sitio, pestaña Información, sección Servidor. También puedes verlo en el cPanel de tu hosting o pedírselo a tu proveedor.
¿Cuánto cuesta blindar mi WordPress?
En Metamedia el diagnóstico es gratuito. El servicio de Seguridad web incluye firewall, antimalware, SSL y limpieza si alguien entra, con renovación anual de 99 dólares; la vigilancia 24/7 NOC/SOC tiene renovación anual de 199 dólares.
Sources: Huntress, “Rapid Response: php2shell” (21 de octubre de 2026); aviso oficial de seguridad de PHP; watchTowr y BleepingComputer, citados por Huntress.
