Si tienes una web, esta semana habrás visto titulares sobre un fallo crítico en PHP. Y con razón: el 21 de octubre de 2026 el equipo de PHP publicó parches de urgencia para dos vulnerabilidades que permiten ejecutar código en un servidor sin necesidad de usuario ni contraseña. Te cuento qué ha pasado con la vulnerabilidad de PHP, a quién afecta y cómo solucionarla, sin tecnicismos y sin alarmismo.
Qué ha pasado con la vulnerabilidad de PHP
Los fallos se llaman CVE-2026-109618 y CVE-2026-109619, y se conocen como PHP2Shell. Los dos tienen una gravedad de 9,2 sobre 10 y permiten la ejecución remota de código sin autenticación. Dicho en llano: alguien desde fuera podría hacer que tu servidor ejecute órdenes que no son tuyas.
Lo más importante en pocas líneas:
- Dónde está el fallo: en PHP, el lenguaje en el que funciona tu web, no en WordPress ni en tus plugins.
- Gravedad: crítica, 9,2 sobre 10.
- A quién afecta: según la agencia estadounidense CISA, a las instalaciones de PHP que atienden peticiones web.
- Parches disponibles: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- Ataques: cuando CISA publicó su alerta no había observado explotación, pero otros medios hablan de intentos tempranos de aprovecharlo. Mejor no esperar a comprobarlo.
¿Afecta a mi web WordPress?
Si tu web usa PHP, y WordPress lo usa, sí puede afectarte mientras tu servidor tenga una versión sin parchear. Aquí está la confusión más habitual: el problema no está en WordPress, ni en tu tema, ni en tus plugins. Por eso actualizar WordPress no lo arregla. Lo que hay que actualizar es PHP en el servidor, y eso se hace desde tu hosting.
Lo mismo vale para Drupal, Joomla, Magento o PrestaShop. Si solo eres visitante de webs, no tienes que hacer nada.
Cómo solucionarlo paso a paso
- Haz una copia de seguridad completa de archivos y base de datos antes de tocar nada.
- Comprueba tu versión de PHP. La ves en el panel de tu hosting o, en WordPress, en Herramientas > Salud del sitio > Información > Servidor.
- Actualiza PHP a una versión corregida (8.5.12, 8.4.27, 8.3.36 u 8.2.35). Muchos hostings aplican el parche sin cambiar el número de versión, así que pregúntales si ya incluye las correcciones de CVE-2026-109618 y CVE-2026-109619.
- Si usas PHP 8.1 o anterior, esas versiones ya no tienen soporte oficial. CISA recomienda desconectar los sistemas basados en PHP hasta poder actualizarlos. Lo sensato es migrar a 8.3 o superior y probar antes tu web, porque algún plugin o tema antiguo puede dar problemas.
- Activa un cortafuegos (WAF) como medida temporal. Ayuda, pero no sustituye a la actualización.
- Vigila los días siguientes: administradores que no conoces, plugins o archivos que no has instalado, redirecciones raras o avisos de tu hosting o de Google.
Si no puedes actualizar ya y tu web no es imprescindible estos días, el CERT-EU recomienda ponerla fuera de línea hasta resolverlo. Es drástico, pero más barato que limpiar una web infectada.
Por qué un buen mantenimiento web te da tranquilidad
Esta vulnerabilidad no será la última. Cada pocas semanas aparece un fallo en PHP, en WordPress o en algún plugin. La diferencia entre enterarte por un titular y tener ya el problema resuelto está en si alguien se ocupa de tu web de forma continua.
Un buen plan de mantenimiento WordPress suele cubrir lo siguiente:
- Copias de seguridad automáticas y comprobadas, para poder volver atrás si algo falla.
- Actualizaciones de PHP, WordPress, tema y plugins con pruebas previas, para que nada se rompa por el camino.
- Vigilancia de caídas, malware y vulnerabilidades conocidas.
- Alguien que te avise y actúe cuando sale un fallo como este, en lugar de descubrirlo tú.
- Revisión tras un incidente, por si el atacante dejó algo escondido.
Una web sin mantener funciona bien… hasta que deja de hacerlo. Y cuando falla es en el peor momento: en plena temporada, con una campaña en marcha o con clientes entrando. Mantenerla al día es mucho más barato y tranquilo que reparar el daño. Si acabas de lanzar tu web, mira también los 5 pasos para hacer después de crear tu web.
Preguntas frecuentes
¿Actualizar WordPress arregla la vulnerabilidad de PHP?
No. El fallo está en PHP, que se actualiza en el servidor a través de tu hosting. Conviene mantener también WordPress y los plugins al día, pero es otra cosa.
¿Cómo sé qué versión de PHP tiene mi web?
En el panel de tu hosting, o en WordPress desde Herramientas > Salud del sitio > Información > Servidor. Si no lo encuentras, pregunta a tu proveedor.
Mi hosting dice que ya está parcheado, pero la versión no ha cambiado. ¿Es normal?
Sí, algunos proveedores y distribuciones aplican la corrección sin cambiar el número de versión. Pídeles confirmación de que incluye CVE-2026-109618 y CVE-2026-109619.
¿Puedo seguir con PHP 7.4 u 8.0?
No es recomendable. Son versiones sin soporte oficial y no figuran entre las corregidas que CISA cita. Planifica la migración cuanto antes.
¿Se puede romper mi web al actualizar PHP?
Puede pasar, sobre todo con plugins o temas antiguos. Por eso se hace con copia de seguridad y, si es posible, probando antes en un entorno de pruebas.
Si prefieres no preocuparte de esto
Si no sabes qué versión de PHP tiene tu web o prefieres que alguien se encargue de actualizarla sin sustos, escríbeme desde la página de contacto y lo revisamos juntos.
Información actualizada a 22 de octubre de 2026. Los detalles pueden cambiar; consulta siempre el aviso oficial en php.net. Fuentes: alerta de CISA y Help Net Security.
