PHP2Shell: cómo comprobar si tu web está expuesta y qué hacer

Última actualización: 23 de octubre de 2026.

¿Qué es PHP2Shell?

PHP2Shell es el nombre que se ha dado a dos vulnerabilidades del propio PHP: CVE-2026-109618 y CVE-2026-109619. Las dos tienen una gravedad de 9,2 sobre 10 y permiten ejecutar código en el servidor sin cuenta ni acceso previo: basta con poder llegar a la web por internet.

Lo importante para un negocio:

• No es un fallo de WordPress ni de ningún plugin. Está en el motor que hace funcionar la web, así que actualizar WordPress, el tema o los plugins no lo arregla.
• Afecta a todas las formas habituales de servir PHP (PHP-FPM, Apache con mod_php, LiteSpeed y otras), según watchTowr. Cambiar ajustes del php.ini no lo soluciona.
• Ya hay ataques. watchTowr detectó intentos de explotación de los dos fallos el mismo 21 de octubre, y Cloudflare habló de ataques incipientes (Malwarebytes).
• Las autoridades piden actuar ya. La NSA, el FBI y la CISA recomiendan actualizar de inmediato y, si no es posible, desconectar el sistema hasta corregirlo (Defense One). Gobiernos de Países Bajos, Finlandia, Francia, Dinamarca y Alemania, y servicios como Wikipedia, desconectaron webs mientras aplicaban el parche (Insurance Business).

Palo Alto Networks (Unit 42) contó más de 22,6 millones de instancias de PHP expuestas en internet que podrían ser vulnerables (TechTarget).

¿Está afectada mi web?

Probablemente sí, si tu web funciona con PHP:

• WordPress, WooCommerce, PrestaShop, Drupal, Joomla, Magento y la mayoría de webs a medida hechas en PHP.
• Da igual que tu hosting sea compartido, un VPS o un servidor propio: lo que cuenta es la versión de PHP que tiene instalada.

No dependes de ti si tu web está en una plataforma cerrada como Wix, Shopify o Squarespace: el servidor lo gestiona la plataforma.

Cómo comprobarlo y arreglarlo en 3 pasos

Paso 1 · Mira qué versión de PHP tienes

En WordPress, entra en el escritorio y sigue esta ruta: Herramientas → Salud del sitio → Información → Servidor → Versión de PHP.

¿No usas WordPress? Búscalo en el panel de tu hosting (suele estar en «PHP», «Versión de PHP» o «Configuración de PHP») o pregúntaselo a quien te lleva la web.

Paso 2 · Actualiza PHP (no WordPress)

Tu web está protegida si tiene una de estas versiones o una posterior de su misma rama:

Si tienes…	Actualiza a…
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 8.1, 8.0 o 7.4	No hay versión oficial corregida. Pregunta a tu hosting si su paquete ya lleva el parche o sube a PHP 8.2 o superior (8.4 es una buena opción)
PHP 7.3 o anterior	No hay arreglo. Sube a una versión con soporte

Antes de subir de versión, haz una copia de seguridad y, si puedes, pruébalo primero en una copia de la web: algunos plugins antiguos pueden fallar con una versión nueva de PHP.

Ojo: el número no lo dice todo. Muchos hostings y sistemas (Ubuntu, AlmaLinux, CloudLinux, cPanel…) aplican el arreglo sin cambiar el número principal: puedes ver, por ejemplo, «8.1.2» y estar ya protegido. Y al revés: una versión correcta no sirve si PHP no se ha reiniciado después de actualizar. Si tu número no está en la tabla, no des nada por hecho y pasa al paso 3.

Si tú llevas el servidor: instala las actualizaciones de PHP de tu sistema y reinicia PHP (o el servidor web) después.

Paso 3 · Si no puedes actualizar hoy, o no sabes si estás protegido, escribe a tu hosting

Puedes copiar este mensaje y cambiar solo tu dominio:

Hola. ¿Habéis aplicado ya en mi servidor el parche de PHP2Shell (CVE-2026-109618 y CVE-2026-109619)? Mi web es [tu dominio]. Si todavía no está, ¿cuándo estará y qué me recomendáis hacer mientras tanto?

Mientras no esté arreglado, la recomendación oficial es desconectar la web o ponerla en modo mantenimiento. En el siguiente apartado te contamos cómo hacerlo sin perder posiciones en Google.

Si tienes que desconectar la web, que no te cueste el SEO

Poner la web en mantenimiento unas horas o un par de días no tiene por qué afectar a tu posicionamiento si se hace como recomienda Google:

• Que la web devuelva un código 503 (servicio no disponible) con una página sencilla que diga cuándo vuelve y cómo contactarte. El modo mantenimiento propio de WordPress lo hace; si usas un plugin u otro sistema, compruébalo.
• Añade la cabecera Retry-After con la hora o el tiempo estimado de vuelta, si tu hosting lo permite.
• Que sea poco tiempo: uno o dos días como mucho. Si va a ser más, mejor una portada provisional que cargue con normalidad.
• No uses errores 404 o 410, etiquetas noindex, un robots.txt que bloquee todo ni la herramienta de retirada de URL de Search Console: todo eso saca tus páginas de Google.

Qué le pasa a tu SEO si te hackean

Una web atacada no solo es un problema de seguridad. Lo habitual es que el atacante la use para publicar páginas de spam, redirigir a tus visitas o instalar código malicioso, y Google lo detecta:

• Avisos en los resultados y en el navegador. Las páginas afectadas pueden aparecer en Google con una etiqueta de advertencia, y Chrome puede mostrar una pantalla de aviso antes de entrar (Ayuda de Search Console).
• Recuperarlo lleva tiempo. Hay que limpiar todas las páginas afectadas y pedir una revisión a Google, que puede tardar días o semanas. Arreglar solo algunas páginas no devuelve la visibilidad.

Si tienes Search Console, revísalo ahora: en Seguridad y acciones manuales → Problemas de seguridad verás si Google ha detectado algo.

Señales de que ya te han atacado

Actualizar cierra la puerta, pero no echa a quien ya haya entrado. El centro de ciberseguridad del Reino Unido (NCSC) recomienda revisar si ha habido intrusión además de actualizar (watchTowr). Desde fuera, fíjate en esto:

• Usuarios administradores que no reconoces en WordPress o en tu panel.
• Archivos nuevos o modificados en la carpeta de la web que nadie ha subido.
• Páginas raras en Google: busca site:tudominio.com y mira si salen páginas de casinos, farmacia o en otros idiomas.
• Redirecciones a otras webs, sobre todo desde el móvil o al llegar desde Google.
• Avisos de tu hosting, de tu antivirus o de Search Console.

Si ves alguna de estas señales, no te limites a actualizar: avisa a tu hosting o a quien te lleva la web para que revise y limpie el servidor, y guarda los registros desde el 20 de octubre.