Si tu empresa tiene una web, una tienda online o una intranet hecha con PHP, lo más probable es que sí te afecte. Y la solución es sencilla: actualizar PHP hoy mismo.
El 21 de octubre de 2026, el equipo que cuida PHP sacó un arreglo urgente para dos fallos muy graves. Se llaman PHP2Shell. Te lo contamos sin palabras raras: qué es, cómo saber si te toca y qué hacer paso a paso.
¿Qué es PHP2Shell, explicado fácil?
PHP2Shell es un agujero en PHP que deja a un desconocido entrar en tu servidor y hacer lo que quiera, sin usuario ni contraseña.
Piensa en tu web como una tienda. PHP es el motor que hace que todo funcione por dentro: el carrito, los formularios, el área de clientes. Es como la cocina de un restaurante. El cliente no la ve, pero sin ella no sale ningún plato.
Ahora imagina que la puerta de atrás de esa cocina tiene una cerradura rota. Cualquiera que lo sepa puede entrar, tocar lo que quiera y salir sin que nadie se entere. Eso es PHP2Shell.
Algunos datos para entender la gravedad:
- Son dos fallos: sus nombres técnicos son CVE-2026-109618 y CVE-2026-109619. No hace falta recordarlos, pero tu técnico los reconocerá.
- Nota de gravedad: 9,2 sobre 10. Es de lo más alto que existe.
- Llevan años ahí. Afectan a versiones de PHP desde la 5.4 hasta la 8.5.11. Es decir, a webs antiguas y a webs nuevas.
- El fallo es de PHP, no de tu web. Da igual que uses WordPress, PrestaShop o una web hecha a medida. Si funciona con PHP, la cerradura rota está ahí.
- Ya hay ladrones probando la puerta. Cloudflare, una empresa que protege millones de webs, detectó ataques la mañana del 21 de octubre, antes incluso de que existiera el arreglo.
¿Afecta PHP2Shell a la mayoría de las empresas?
Sí. Según W3Techs se calcula que en torno al 70% de las empresas con web están afectadas, porque unas 7 de cada 10 webs funcionan con PHP.
¿Por qué tantas? Porque las herramientas más usadas por las empresas para crear webs funcionan con PHP. WordPress, por ejemplo, mueve una parte enorme de internet. Y lo mismo pasa con muchas tiendas online y plataformas de formación.
Hay un error muy común que conviene desmontar: «Mi web es pequeña, a nadie le interesa». Los atacantes no eligen a mano. Usan programas que recorren internet buscando cualquier web con la cerradura rota. No buscan tu empresa: buscan tu versión de PHP. Una peluquería con reservas online es tan visible para ellos como un gran banco.
¿Cómo sé si mi web está afectada?
Tu web está afectada si usa PHP y su versión es más antigua que 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Comprobarlo lleva menos de cinco minutos.
Paso 1: ¿mi web usa PHP?
Si tu web está hecha con WordPress, WooCommerce, PrestaShop, Magento, Joomla, Drupal, Moodle o Laravel, la respuesta es sí. Si no sabes con qué está hecha, pregúntaselo a quien te lleva la web o a tu empresa de hosting (la empresa que «guarda» tu web en internet).
Paso 2: ¿qué versión de PHP tengo?
- Si usas WordPress: entra en el panel y ve a Herramientas → Salud del sitio → Información → Servidor. Ahí verás la versión de PHP.
- Si tienes panel de hosting (cPanel, Plesk u otros): busca un apartado llamado «Versión de PHP» o «Selector de PHP».
- Si tienes un técnico con acceso al servidor: que escriba
php -v. Le saldrá la versión al momento. - Si te lo lleva una agencia o un hosting gestionado: pídeles la versión por escrito.
Paso 3: compara tu versión con esta tabla
| Si tu PHP empieza por… | Estás protegido a partir de… |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 o más antiguo | No hay versión oficial: pregunta a tu proveedor o cambia a una versión más nueva |
Un ejemplo: si tu web usa PHP 8.3.30, estás afectado, porque necesitas la 8.3.36 o superior. Si usa la 8.4.27, ya estás a salvo.
Da igual cómo esté montado tu servidor por dentro. Todas las webs con PHP que reciben visitas están en riesgo.
¿Qué le puede pasar a mi empresa si no hago nada?
Lo peor que puede pasar es que un desconocido se quede con las llaves de tu web y de los datos de tus clientes. A partir de ahí, los problemas se encadenan:
- Se quedan dentro. El atacante puede dejar una «puerta secreta» escondida en tu servidor. Aunque arregles la cerradura después, él puede volver a entrar por esa puerta.
- Te roban datos. Estos fallos también dejan leer trozos de la memoria del servidor. Ahí pueden aparecer contraseñas, datos de clientes o sesiones abiertas. Es como dejar que alguien lea las notas que tienes encima de la mesa.
- Problemas legales. Si se escapan datos personales, la ley de protección de datos (RGPD) te obliga a avisar a la Agencia Española de Protección de Datos en 72 horas. Y puede haber multas.
- Tu web hace cosas raras. Pueden llenar tu web de anuncios basura, mandar a tus clientes a páginas falsas o usarla para repartir virus. Google puede marcarla como peligrosa y dejar de mostrarla.
- Pierdes ventas y confianza. Una tienda online atacada deja de vender desde el primer día. Y recuperar la confianza de los clientes cuesta mucho más que arreglar la web.
¿Por qué hay que darse prisa? Porque los detalles del fallo se hicieron públicos antes que el arreglo, y los ataques ya han empezado. Cada día sin actualizar es un día más con la puerta abierta.
¿Qué tengo que hacer hoy para proteger mi web?
Lo único que lo arregla de verdad es actualizar PHP a una versión corregida. Actualizar WordPress, el tema o los plugins no sirve, porque el fallo está en PHP.
- Actualiza PHP hoy. Sube a la versión segura de tu rama (mira la tabla de arriba). Si tienes servidor propio, tu técnico debe instalar las actualizaciones que publique el sistema.
- Si tienes hosting compartido o una agencia, escríbeles hoy. Casi siempre actualizan ellos, pero no lo des por hecho. Pide la confirmación por escrito.
- Si usas PHP 8.1 o más antiguo, pregunta si tu proveedor ha aplicado el arreglo por su cuenta. Si no, planifica ya el cambio a una versión más nueva. Pruébalo antes en una copia de la web, porque a veces algún plugin antiguo deja de funcionar.
- Cambia las contraseñas importantes después de actualizar: la de la base de datos, el acceso FTP o SSH, el panel del hosting y las de los administradores de la web.
¿Cómo sé si ya me han atacado?
No siempre se nota, así que hay que mirar. Si encuentras alguna de estas señales, trata tu web como si alguien hubiera entrado.
- Archivos nuevos que nadie ha creado. Sobre todo archivos que terminan en .php dentro de carpetas como «uploads» o «cache», donde normalmente solo hay imágenes o archivos temporales.
- Usuarios administradores que no conoces. Revisa la lista de usuarios con permisos de tu web.
- Tareas programadas extrañas. Son órdenes que el servidor ejecuta solo, cada cierto tiempo. Tu técnico puede revisarlas en un momento.
- Cosas raras en la web: anuncios que no has puesto, redirecciones a otras páginas o avisos de Google diciendo que tu web es peligrosa.
- La web va muy lenta sin motivo, o tu hosting te avisa de un consumo anormal.
Si ves algo de esto, no lo arregles a medias. Lo correcto es que un profesional limpie el servidor, cierre las puertas secretas y revise si se han llevado datos. Si hay datos personales en juego, recuerda el plazo de 72 horas para avisar a la AEPD.
¿Cómo evito que esto me vuelva a pasar?
Con un plan, no con prisas. Eso es la ciberseguridad estratégica empresarial: decidir de antemano cómo proteges tu negocio, en lugar de correr cada vez que sale una noticia como esta.
PHP2Shell no será el último fallo grave. Lo que marca la diferencia es tener hábitos que funcionan siempre:
- Haz una lista de lo que tienes. Apunta tus webs, tiendas e intranets, quién las mantiene y con qué tecnología funcionan. Hoy muchas empresas han perdido horas solo averiguando qué versión usaban.
- Pon las actualizaciones en el calendario. Que alguien tenga la tarea fija de revisar actualizaciones cada mes y aplicar las urgentes en 24 o 48 horas.
- Exige actualizaciones por contrato. Si un proveedor lleva tu web, que el contrato diga cuánto tarda en aplicar los arreglos de seguridad.
- Haz copias de seguridad y comprueba que funcionan. Guárdalas fuera del servidor. Una copia que nunca has probado a recuperar es una apuesta, no una copia.
- Usa un escudo delante de tu web. Servicios como los cortafuegos web (WAF) bloquean muchos ataques conocidos antes de que lleguen a tu servidor.
- Ten un plan para cuando algo falle. A quién llamas, quién avisa a los clientes y quién habla con la AEPD. Escrito en una hoja, no en la cabeza de una persona.
El último paso del plan: un ciberseguro
Aunque hagas todo lo anterior, ninguna cerradura es perfecta. PHP2Shell lo demuestra: los ataques empezaron antes de que existiera el arreglo. Por eso, igual que una empresa asegura su local contra incendios aunque tenga extintores, cada vez más empresas contratan un ciberseguro.
Una buena póliza de ciberseguro suele ayudarte con lo más caro de un ataque: los expertos que limpian y recuperan tus sistemas, el asesoramiento legal, los avisos a clientes y autoridades, e incluso el dinero que dejas de ganar mientras tu web está parada. Muchas incluyen además un teléfono de emergencia para que no tengas que buscar ayuda en mitad del problema.
Antes de contratar, fíjate en tres cosas: que cubra los fallos de proveedores (como tu hosting), que incluya ayuda inmediata ante incidentes y qué te exige a cambio, porque muchas pólizas piden tener las actualizaciones al día. Si quieres comparar con calma, aquí están las mejores opciones de ciberseguro.
