{"id":7153,"date":"2026-10-21T12:51:04","date_gmt":"2026-10-21T18:51:04","guid":{"rendered":"https:\/\/metamedia.cloud\/?p=7153"},"modified":"2026-10-21T12:51:30","modified_gmt":"2026-10-21T18:51:30","slug":"vulnerabilidad-critica-en-php-wordpress-php2shell","status":"publish","type":"post","link":"https:\/\/metamedia.cloud\/en\/vulnerabilidad-critica-en-php-wordpress-php2shell\/","title":{"rendered":"php2shell: la Vulnerabilidad Cr\u00edtica en PHP que Pone en Riesgo tu WordPress (y Qu\u00e9 Hacer Hoy)"},"content":{"rendered":"<p><strong>En resumen:<\/strong> el 20 de octubre de 2026 se filtr\u00f3 una <strong>vulnerabilidad cr\u00edtica en PHP<\/strong> (en realidad son dos fallas), el lenguaje con el que funcionan WordPress, WooCommerce y millones de p\u00e1ginas web. Les dicen <em>php2shell<\/em> porque permiten que un desconocido tome el control de tu servidor con una simple visita a tu p\u00e1gina, sin usuario ni contrase\u00f1a. El 21 de octubre sali\u00f3 la correcci\u00f3n. Si tu sitio usa PHP (y si es WordPress, s\u00ed lo usa), <strong>tienes que actualizar hoy<\/strong>. Aqu\u00ed te explicamos qu\u00e9 pas\u00f3 en lenguaje sencillo, c\u00f3mo saber si est\u00e1s en riesgo y qu\u00e9 hacer paso a paso.<\/p>\n<h2>\u00bfQu\u00e9 es php2shell, la vulnerabilidad cr\u00edtica en PHP de la que todos hablan?<\/h2>\n<p>Imagina que tu p\u00e1gina web es una tienda y PHP es el edificio donde est\u00e1. Hasta ahora, los ladrones buscaban una ventana mal cerrada en tu tienda (un plugin viejo, una contrase\u00f1a d\u00e9bil). Esta vez el problema est\u00e1 <strong>en los cimientos del edificio<\/strong>: no importa qu\u00e9 tan bien cuides tu tienda, si el edificio tiene la falla, la puerta est\u00e1 abierta.<\/p>\n<p>Las dos vulnerabilidades se llaman oficialmente <strong>CVE-2026-109618<\/strong> y <strong>CVE-2026-109619<\/strong>. El equipo de seguridad de PHP las calific\u00f3 con <strong>9.2 de 10 en gravedad<\/strong> (nivel cr\u00edtico). Los investigadores las bautizaron como <em>php2shell<\/em> porque, en palabras simples, alguien manda una petici\u00f3n a tu p\u00e1gina y obtiene una &#8220;terminal&#8221; para dar \u00f3rdenes dentro de tu servidor.<\/p>\n<p>Lo m\u00e1s delicado: <strong>la informaci\u00f3n se filtr\u00f3 antes de que existiera la correcci\u00f3n<\/strong>. Alguien public\u00f3 los detalles en Internet antes de tiempo, as\u00ed que PHP tuvo que adelantar la actualizaci\u00f3n de emergencia.<\/p>\n<h2>\u00bfQu\u00e9 pas\u00f3, d\u00eda por d\u00eda?<\/h2>\n<ul>\n<li><strong>20 de octubre, en la ma\u00f1ana:<\/strong> aparece en un foro de programadores el aviso de dos fallas cr\u00edticas en PHP. Lo borran, pero las capturas de pantalla ya circulaban en redes.<\/li>\n<li><strong>20 de octubre, horas despu\u00e9s:<\/strong> la firma de seguridad watchTowr confirma que la filtraci\u00f3n es real, y el equipo de PHP anuncia una actualizaci\u00f3n de emergencia para el d\u00eda siguiente (originalmente estaba planeada para el jueves).<\/li>\n<li><strong>21 de octubre, 7:30 am hora del centro de M\u00e9xico:<\/strong> PHP publica las versiones corregidas <strong>8.5.12, 8.4.27, 8.3.36 y 8.2.35<\/strong>.<\/li>\n<li><strong>21 de octubre:<\/strong> la empresa de ciberseguridad Huntress reporta que todav\u00eda no ve ataques entre sus clientes, pero otros investigadores ya reportan los primeros intentos. La ventana para actualizar con calma se est\u00e1 cerrando.<\/li>\n<\/ul>\n<h2>\u00bfMi p\u00e1gina web est\u00e1 en riesgo?<\/h2>\n<p>Si tu sitio est\u00e1 hecho en <strong>WordPress, WooCommerce, Joomla, Drupal o Magento<\/strong>, funciona con PHP. Seg\u00fan el aviso oficial, <strong>todas las instalaciones de PHP que atienden visitas web est\u00e1n en riesgo<\/strong>, sin importar si tu hosting usa Apache, LiteSpeed, PHP-FPM u otra configuraci\u00f3n. En el caso de una configuraci\u00f3n muy com\u00fan (Apache con mod_php), el ataque puede ejecutarse <strong>antes de que tu WordPress siquiera cargue<\/strong>, as\u00ed que ning\u00fan plugin de seguridad dentro de WordPress lo puede detener por s\u00ed solo.<\/p>\n<table>\n<thead>\n<tr>\n<th>Tu versi\u00f3n de PHP<\/th>\n<th>\u00bfHay correcci\u00f3n?<\/th>\n<th>Qu\u00e9 hacer<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>PHP 8.5<\/td>\n<td>S\u00ed<\/td>\n<td>Actualizar a 8.5.12 o superior<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.4<\/td>\n<td>S\u00ed<\/td>\n<td>Actualizar a 8.4.27 o superior<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.3<\/td>\n<td>S\u00ed<\/td>\n<td>Actualizar a 8.3.36 o superior<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.2<\/td>\n<td>S\u00ed<\/td>\n<td>Actualizar a 8.2.35 o superior<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.1, 8.0, 7.4 o anterior<\/td>\n<td>Sin actualizaci\u00f3n oficial<\/td>\n<td>Migrar a una versi\u00f3n soportada lo antes posible o pedir a tu hosting un parche especial<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><em>Fuente: aviso oficial de PHP y reporte de Huntress del 21 de octubre de 2026.<\/em><\/p>\n<h2>\u00bfQu\u00e9 puede hacer un atacante si entra?<\/h2>\n<p>Tomar el control del servidor significa que puede hacer pr\u00e1cticamente lo que quiera con tu p\u00e1gina:<\/p>\n<ul>\n<li>Robar la base de datos: clientes, correos, pedidos y tel\u00e9fonos.<\/li>\n<li>Crear usuarios administradores falsos para volver cuando quiera.<\/li>\n<li>Llenar tu sitio de p\u00e1ginas de spam que hunden tu posicionamiento en Google.<\/li>\n<li>Redirigir a tus visitantes a sitios fraudulentos o usar tu servidor para atacar a otros.<\/li>\n<li>Instalar &#8220;puertas traseras&#8221; que sobreviven aunque restaures la p\u00e1gina.<\/li>\n<\/ul>\n<p>No es teor\u00eda. En las \u00faltimas semanas en Metamedia hemos limpiado sitios WordPress de empresas mexicanas que estaban comprometidos desde hac\u00eda meses, con administradores falsos y archivos maliciosos escondidos. Los due\u00f1os no lo sab\u00edan porque <strong>la p\u00e1gina se ve\u00eda normal<\/strong>.<\/p>\n<h2>C\u00f3mo actualizar PHP en WordPress hoy: checklist en 7 pasos<\/h2>\n<ol>\n<li><strong>Revisa qu\u00e9 versi\u00f3n de PHP tienes.<\/strong> En WordPress entra a <em>Herramientas \u2192 Salud del sitio \u2192 Informaci\u00f3n \u2192 Servidor<\/em>. Ah\u00ed aparece la versi\u00f3n de PHP.<\/li>\n<li><strong>Actualiza PHP o p\u00eddeselo a tu hosting hoy mismo.<\/strong> En cPanel suele estar en &#8220;Seleccionar versi\u00f3n de PHP&#8221; o &#8220;MultiPHP Manager&#8221;. Si no tienes acceso, manda un ticket a tu proveedor pidiendo expl\u00edcitamente la versi\u00f3n corregida (8.3.36, 8.4.27, etc.).<\/li>\n<li><strong>Si tienes PHP 8.1 o anterior, migra.<\/strong> Esas versiones ya no reciben correcciones oficiales. Antes de cambiar, haz un respaldo y prueba que tu tema y plugins funcionen con la versi\u00f3n nueva.<\/li>\n<li><strong>Haz un respaldo completo antes y despu\u00e9s.<\/strong> Archivos y base de datos, guardados fuera del servidor.<\/li>\n<li><strong>Revisa tus usuarios administradores.<\/strong> En <em>Usuarios<\/em>, filtra por &#8220;Administrador&#8221;. Si ves alguno que no reconoces, es una se\u00f1al de alerta.<\/li>\n<li><strong>Actualiza WordPress, tu tema y tus plugins.<\/strong> La falla est\u00e1 en PHP, pero los atacantes aprovechan cualquier puerta abierta extra.<\/li>\n<li><strong>Cambia contrase\u00f1as<\/strong> de WordPress, hosting y base de datos si tienes la menor sospecha de que algo raro pas\u00f3.<\/li>\n<\/ol>\n<h2>Se\u00f1ales de que tu p\u00e1gina ya pudo haber sido atacada<\/h2>\n<p>No necesitas ser t\u00e9cnico para notar estas se\u00f1ales:<\/p>\n<ul>\n<li>Aparecen en Google p\u00e1ginas de tu dominio que t\u00fa nunca creaste (busca <em>site:tudominio.com<\/em>).<\/li>\n<li>Hay administradores o archivos nuevos que nadie de tu equipo agreg\u00f3.<\/li>\n<li>Tu sitio se volvi\u00f3 lento de repente o tu hosting te avisa de uso excesivo de recursos.<\/li>\n<li>Algunos visitantes son enviados a otras p\u00e1ginas o ven anuncios extra\u00f1os.<\/li>\n<li>Google Search Console o tu antivirus te avisan de &#8220;contenido malicioso&#8221;.<\/li>\n<\/ul>\n<p>Si ves cualquiera de estas, <strong>no borres nada todav\u00eda<\/strong>: guarda una copia, a\u00edsla el sitio y busca ayuda profesional para limpiarlo sin perder evidencia.<\/p>\n<h2>Actualizar es urgente, pero no es suficiente<\/h2>\n<p>Actualizar PHP cierra <em>esta<\/em> puerta. Pero cada mes aparecen fallas nuevas en plugins, temas y servidores. La diferencia entre un susto y una crisis es tener <strong>a alguien vigilando<\/strong> y un sitio <strong>blindado de antemano<\/strong>, para que una falla nueva no se convierta en un hackeo.<\/p>\n<h3>As\u00ed blindamos WordPress en Metamedia<\/h3>\n<p>Es el mismo protocolo que aplicamos en los sitios de nuestros clientes despu\u00e9s de limpiar hackeos reales:<\/p>\n<ul>\n<li><strong>Firewall y antimalware<\/strong> configurados a la medida, para frenar ataques antes de que lleguen a tu WordPress.<\/li>\n<li><strong>Login escondido y protegido<\/strong> contra ataques de fuerza bruta.<\/li>\n<li><strong>Bloqueo de ejecuci\u00f3n de c\u00f3digo<\/strong> en las carpetas donde se suben im\u00e1genes (el escondite favorito de los atacantes).<\/li>\n<li><strong>Cabeceras de seguridad<\/strong> y desactivaci\u00f3n de accesos que casi nadie usa pero los atacantes s\u00ed (como XML-RPC).<\/li>\n<li><strong>Auditor\u00eda de usuarios y archivos<\/strong>: eliminamos administradores falsos y &#8220;puertas traseras&#8221;.<\/li>\n<li><strong>Respaldos diarios<\/strong> fuera del servidor y <strong>actualizaciones probadas una por una<\/strong>, para que tu sitio no se caiga al actualizar.<\/li>\n<li><strong>Limpieza incluida<\/strong> si alguien logra entrar.<\/li>\n<\/ul>\n<p>Conoce el servicio de <a href=\"\/producto\/seguridad-web-metamedia-1-ano\/\">Seguridad web Metamedia<\/a>.<\/p>\n<h3>Vigilancia 24\/7: NOC y SOC<\/h3>\n<p>Un <strong>NOC<\/strong> (centro de monitoreo) vigila que tu p\u00e1gina no se caiga; un <strong>SOC<\/strong> (centro de seguridad) vigila que nadie se meta. Con nuestro servicio <a href=\"\/producto\/noc-soc-hub-metamedia-%c2%b7-vigilancia-24-7-1-ano\/\">NOC\/SOC Hub<\/a>, si ma\u00f1ana sale otra falla como php2shell, nosotros la detectamos, actualizamos y te avisamos. T\u00fa sigues vendiendo.<\/p>\n<h3>Y adem\u00e1s: CRM gratis<\/h3>\n<p>Proteger tu p\u00e1gina es proteger los datos de tus clientes. Por eso tambi\u00e9n te damos <a href=\"\/producto\/metamedia-crm-%c2%b7-gratis\/\">Metamedia CRM gratis para siempre, hasta 5 usuarios<\/a>, para que organices tus prospectos y clientes en un lugar seguro, en lugar de hojas de Excel o chats sueltos.<\/p>\n<div style=\"background: #101312; color: #fbfbf7; border-radius: 16px; padding: 32px 28px; margin: 40px 0;\">\n<h2 style=\"color: #fbfbf7; margin-top: 0;\">\u00bfNo sabes qu\u00e9 versi\u00f3n de PHP tienes o si tu sitio ya est\u00e1 comprometido?<\/h2>\n<p style=\"color: #e3e2d8;\">Te hacemos un <strong style=\"color: #00bfc0;\">diagn\u00f3stico gratuito<\/strong> de tu p\u00e1gina: revisamos tu versi\u00f3n de PHP, usuarios, plugins y se\u00f1ales de hackeo, y te decimos en lenguaje claro qu\u00e9 hay que corregir. Adem\u00e1s te activamos tu CRM gratis.<\/p>\n<p style=\"margin-bottom: 0;\"><a style=\"display: inline-block; background: #00BFC0; color: #101312; font-weight: bold; padding: 14px 24px; border-radius: 999px; text-decoration: none;\" href=\"\/diagnostico\/\">Quiero mi diagn\u00f3stico gratis \u2192<\/a> \u00a0 <a style=\"color: #00bfc0;\" href=\"\/contacto\/\">o escr\u00edbenos aqu\u00ed<\/a><\/p>\n<\/div>\n<h2>Preguntas frecuentes sobre php2shell<\/h2>\n<h3>\u00bfQu\u00e9 es php2shell?<\/h3>\n<p>Es el nombre con el que se conocen dos vulnerabilidades cr\u00edticas en PHP (CVE-2026-109618 y CVE-2026-109619) filtradas el 20 de octubre de 2026. Permiten que un atacante ejecute c\u00f3digo en el servidor de una p\u00e1gina web sin necesidad de usuario ni contrase\u00f1a.<\/p>\n<h3>\u00bfAfecta a WordPress?<\/h3>\n<p>S\u00ed. WordPress funciona con PHP, as\u00ed que cualquier sitio WordPress en una versi\u00f3n de PHP sin corregir est\u00e1 expuesto. La falla est\u00e1 en PHP, no en WordPress, por lo que la soluci\u00f3n es actualizar PHP en el servidor.<\/p>\n<h3>\u00bfQu\u00e9 versiones de PHP corrigen el problema?<\/h3>\n<p>PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores ya no reciben actualizaciones oficiales.<\/p>\n<h3>\u00bfUn plugin de seguridad me protege?<\/h3>\n<p>Ayuda, pero no basta. En algunas configuraciones el ataque ocurre antes de que WordPress cargue, as\u00ed que la \u00fanica protecci\u00f3n real es actualizar PHP y, adem\u00e1s, tener firewall a nivel servidor y vigilancia constante.<\/p>\n<h3>\u00bfC\u00f3mo s\u00e9 qu\u00e9 versi\u00f3n de PHP tengo?<\/h3>\n<p>En el panel de WordPress ve a Herramientas, Salud del sitio, pesta\u00f1a Informaci\u00f3n, secci\u00f3n Servidor. Tambi\u00e9n puedes verlo en el cPanel de tu hosting o ped\u00edrselo a tu proveedor.<\/p>\n<h3>\u00bfCu\u00e1nto cuesta blindar mi WordPress?<\/h3>\n<p>En Metamedia el diagn\u00f3stico es gratuito. El servicio de Seguridad web incluye firewall, antimalware, SSL y limpieza si alguien entra, con renovaci\u00f3n anual de 99 d\u00f3lares; la vigilancia 24\/7 NOC\/SOC tiene renovaci\u00f3n anual de 199 d\u00f3lares.<\/p>\n<p><em>Fuentes: <a href=\"https:\/\/www.huntress.com\/blog\/php2shell-leaked-critical-php-vulnerabilities\" target=\"_blank\" rel=\"noopener\">Huntress, &#8220;Rapid Response: php2shell&#8221;<\/a> (21 de octubre de 2026); <a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-20-1\" target=\"_blank\" rel=\"noopener\">aviso oficial de seguridad de PHP<\/a>; watchTowr y BleepingComputer, citados por Huntress.<\/em><\/p>\n<p><script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"\u00bfQu\u00e9 es php2shell?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Es el nombre con el que se conocen dos vulnerabilidades cr\u00edticas en PHP (CVE-2026-109618 y CVE-2026-109619) filtradas el 20 de octubre de 2026. Permiten que un atacante ejecute c\u00f3digo en el servidor de una p\u00e1gina web sin necesidad de usuario ni contrase\u00f1a.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfphp2shell afecta a WordPress?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"S\u00ed. WordPress funciona con PHP, as\u00ed que cualquier sitio WordPress en una versi\u00f3n de PHP sin corregir est\u00e1 expuesto. La falla est\u00e1 en PHP, no en WordPress, por lo que la soluci\u00f3n es actualizar PHP en el servidor.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfQu\u00e9 versiones de PHP corrigen php2shell?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026. PHP 8.1 y anteriores ya no reciben actualizaciones oficiales.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfUn plugin de seguridad me protege de php2shell?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ayuda, pero no basta. En algunas configuraciones el ataque ocurre antes de que WordPress cargue, as\u00ed que la \u00fanica protecci\u00f3n real es actualizar PHP y, adem\u00e1s, tener firewall a nivel servidor y vigilancia constante.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfC\u00f3mo s\u00e9 qu\u00e9 versi\u00f3n de PHP tiene mi WordPress?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"En el panel de WordPress ve a Herramientas, Salud del sitio, pesta\u00f1a Informaci\u00f3n, secci\u00f3n Servidor. Tambi\u00e9n puedes verlo en el cPanel de tu hosting o ped\u00edrselo a tu proveedor.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfCu\u00e1nto cuesta blindar mi WordPress con Metamedia?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"El diagn\u00f3stico es gratuito. El servicio de Seguridad web incluye firewall, antimalware, SSL y limpieza si alguien entra, con renovaci\u00f3n anual de 99 d\u00f3lares; la vigilancia 24\/7 NOC\/SOC tiene renovaci\u00f3n anual de 199 d\u00f3lares.\"}}]}<\/script><\/p>\n<aside class=\"mm-related\">\n<p class=\"mm-related__label\">Servicios relacionados<\/p>\n<ul>\n<li><a href=\"\/producto\/seguridad-web-metamedia-1-ano\/\">Seguridad web Metamedia \u2192<\/a><\/li>\n<li><a href=\"\/producto\/noc-soc-hub-metamedia-%c2%b7-vigilancia-24-7-1-ano\/\">NOC\/SOC Hub: vigilancia 24\/7 \u2192<\/a><\/li>\n<li><a href=\"\/producto\/metamedia-crm-%c2%b7-gratis\/\">Metamedia CRM gratis \u2192<\/a><\/li>\n<\/ul>\n<p class=\"mm-related__glos\">\u00bfAlguna palabra no te qued\u00f3 clara? <a href=\"\/glosario\/\">Consulta el glosario<\/a>.<\/p>\n<\/aside>\n","protected":false},"excerpt":{"rendered":"<p>Se filtraron dos fallas cr\u00edticas en PHP que permiten tomar el control de sitios WordPress sin contrase\u00f1a. Qu\u00e9 pas\u00f3, c\u00f3mo saber si est\u00e1s en riesgo y qu\u00e9 hacer hoy, explicado sin tecnicismos.<\/p>","protected":false},"author":1,"featured_media":7154,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"content-type":"","_joinchat":[],"footnotes":""},"categories":[124],"tags":[273,276,274,275,270,272,271],"class_list":["post-7153","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-actualizar-php","tag-ciberseguridad-pymes","tag-cve-2026-109618","tag-cve-2026-109619","tag-php2shell","tag-seguridad-wordpress","tag-vulnerabilidad-php"],"_links":{"self":[{"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/posts\/7153","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/comments?post=7153"}],"version-history":[{"count":3,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/posts\/7153\/revisions"}],"predecessor-version":[{"id":7157,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/posts\/7153\/revisions\/7157"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/media\/7154"}],"wp:attachment":[{"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/media?parent=7153"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/categories?post=7153"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/metamedia.cloud\/en\/wp-json\/wp\/v2\/tags?post=7153"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}