wp2html

PHP2Shell y WordPress: qué hacer ahora

Publicado el . Actualizamos esta página a medida que se conocen datos nuevos.

El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas en PHP, el lenguaje con el que funciona WordPress. Se conocen como PHP2Shell. Aquí le explicamos qué son, si su sitio está afectado y qué hacer.

Qué pasó

  • Las dos fallas son CVE-2026-109618 y CVE-2026-109619. El proyecto PHP califica ambas con 9.2 de 10 (CVSS v4.0).
  • Permiten que un atacante ejecute código en un servidor web enviándole una solicitud especialmente preparada. No necesita iniciar sesión.
  • La empresa de seguridad Wiz, OpenAI y la firma de seguridad ofensiva Calif las encontraron con ayuda de modelos de IA y las reportaron a PHP en agosto de 2026.
  • Wiz confirmó ataques que funcionan contra WordPress y Drupal con su configuración predeterminada.
  • Algunas empresas de seguridad reportaron intentos de ataque el mismo día en que se dieron a conocer.

¿Su sitio está afectado?

Si su sitio funciona con PHP y su proveedor de hosting no ha actualizado PHP desde que salió la corrección, asuma que sí. Eso incluye casi todos los sitios de WordPress.

  • La corrección está en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
  • PHP 8.1 y las versiones anteriores ya no tienen soporte y no recibirán una corrección oficial. Cerca del 18% de los sitios de WordPress las usan, según mysites.guru.
  • Actualizar WordPress, su tema o sus plugins no lo soluciona. La falla está en PHP.
  • Un firewall delante de su sitio ayuda, pero no es una solución completa. Cloudflare dice que activó reglas de firewall para estas fallas.

Qué hacer hoy

  1. Pregunte a su proveedor de hosting qué versión de PHP usa su sitio y si la actualizó después del 21 de octubre de 2026. Algunos proveedores corrigen PHP sin cambiar el número de versión, así que pregunte directamente.
  2. Si usa PHP 8.1 o anterior, planee actualizar a 8.2 o posterior. Pruebe el sitio primero: los temas y plugins antiguos pueden fallar con un PHP más nuevo.
  3. Mientras lo resuelve, ponga el sitio detrás de un firewall de aplicaciones web, como el de Cloudflare.
  4. Busque señales de problemas: usuarios administradores que no reconoce, archivos nuevos que usted no subió o páginas que redirigen a sitios extraños.
  5. Asegúrese de tener una copia de seguridad reciente guardada fuera de su cuenta de hosting.

Nuestra revisión gratis muestra lo que revela su página de inicio, incluida la versión de PHP cuando su servidor la muestra.

Por qué el HTML estático evita este tipo de fallas

Un sitio estático es un conjunto de archivos terminados. Cuando llega un visitante, el servidor le entrega un archivo. No se ejecuta PHP ni se consulta una base de datos, así que una falla de PHP no tiene nada que atacar.

Eso no hace que un sitio estático sea inmune a todo. Sus cuentas de Cloudflare y de su dominio siguen necesitando contraseñas fuertes y verificación en dos pasos, y los scripts externos que agregue siguen importando. Pero la mayor superficie de ataque de un sitio de WordPress, PHP más plugins más una página pública de acceso, desaparece.

Si quiere seguir editando en WordPress, podemos mantenerlo como editor privado, sin acceso desde internet, que publica páginas estáticas. En esa opción, el WordPress privado todavía necesita actualizaciones de PHP, y nosotros nos encargamos.

Pedir una cotización para mi sitio Revisar mi sitio

Fuentes (en inglés)