Se descubrió un fallo de seguridad grave en PHP, el lenguaje con el que funciona la mayoría de las webs, incluidas las hechas con WordPress. Si tu web tiene más de un año, es casi seguro que lo usa. El 21 de octubre de 2026 se publicó una corrección de emergencia para dos fallos, apodados PHP2Shell, que permitían tomar el control de un servidor sin necesidad de contraseña.
¿Qué es este fallo de seguridad en PHP?
Son dos errores en el código de PHP, registrados como CVE-2026-109618 y CVE-2026-109619. En palabras simples: si alguien envía a tu servidor una petición armada con mala intención, el servidor puede terminar ejecutando las órdenes de esa persona sin pedir ninguna contraseña. Por eso se consideran críticos.
¿A quién afecta esto?
Afecta a cualquier instalación de PHP que atienda páginas web, sea PHP-FPM, Apache con mod_php, php-cgi u otras configuraciones habituales en el hosting compartido. El propio equipo de PHP señala a mod_php como la configuración de mayor riesgo, porque el fallo puede dispararse antes de que corra cualquier código de la web. Quedan fuera los scripts de PHP que se ejecutan solo por consola, sin recibir visitas desde internet.
¿Qué versiones de PHP quedan a salvo?
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según la rama que uses, tal como figura en el registro oficial de cambios de PHP. Si tu hosting todavía corre PHP 8.1 o una versión anterior, no hay una versión nueva oficial para esa rama: son versiones que ya llegaron a su fin de soporte y solo recibieron parches mínimos para quien compila PHP desde el código fuente. Seguir en una versión sin soporte ya es, de por sí, un riesgo aparte de este fallo puntual.
¿Cómo sé si mi web está en riesgo?
La forma más simple es preguntarle a quien administra tu hosting qué versión de PHP corre el servidor y si ya aplicó el parche de octubre. La mayoría de los paneles de hosting muestran esa versión en la sección de alojamiento. Si tu web la administra un tercero, pídele confirmación por escrito de que la actualizó.
¿Qué tengo que hacer ahora?
Lo único que resuelve el problema del todo es actualizar PHP a la versión corregida de tu rama. No hay una solución desde el código de tu web en sí: el fallo está en el lenguaje, no en tu sitio particular. Coordiná la actualización con tu proveedor de hosting cuanto antes, y de paso revisá que el resto de tu mantenimiento web (gestor de contenido, plugins, certificados) también esté al día.
¿Qué hago si sospecho que ya me afectó?
Las señales son las mismas que en cualquier otro ataque a una web: archivos que no reconocés, usuarios nuevos en el panel de administración o un rendimiento que cambió de golpe. Si notás algo así, el primer paso es el mismo que frente a cualquier web hackeada: cambiar todas las contraseñas, avisar a tu hosting y restaurar desde una copia de seguridad limpia.
No hace falta entender cada detalle técnico de esta vulnerabilidad de PHP para protegerte. Alcanza con confirmar qué versión corre tu web y si ya tiene soporte. Si no estás segura de cuál es tu caso, puedo revisarlo.
