Qué ha pasado
El 21 de octubre el proyecto PHP publicó parches de emergencia para dos fallos que la industria ya llama PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Los dos tienen una puntuación de 9.2 sobre 10 y permiten algo muy grave: ejecutar código en el servidor sin iniciar sesión. Con una sola petición bien construida, un atacante puede llegar a hacerse con la máquina que sirve tu web.
PHP es el lenguaje en el que funcionan WordPress, WooCommerce, PrestaShop, Drupal, Joomla y buena parte de las webs de pymes en España y Latinoamérica. Wiz, una de las firmas que encontró los fallos, calcula que PHP está detrás de alrededor del 70 % de las webs.
El miércoles hablábamos de los agentes de IA que entran en tiendas online por 50 dólares. Esto es la otra cara de la misma moneda.
Por qué importa que lo haya encontrado una IA
Los fallos llevaban años en el código de PHP. Lo que faltaba era alguien capaz de encadenar todos los pasos para aprovecharlos. Según Wiz, eso era tan complejo que nadie lo había conseguido.
En agosto, investigadores de Wiz y de la firma Calif lo lograron por separado con ayuda de modelos de IA como GPT-5.6 Sol y Gemini 4 Argon. Wiz demostró el ataque en WordPress, Drupal y Joomla y lo comunicó al equipo de PHP, que tardó dos meses en preparar la corrección.
La lección es incómoda: las mismas herramientas que usan los defensores para encontrar fallos están al alcance de los atacantes. Y la ventana entre que se publica un fallo y alguien lo intenta explotar se ha quedado en horas.
Lo que está pasando ahora mismo
Esto es lo que sabemos a fecha de hoy:
- Ataques desde el primer día. La firma watchTowr vio intentos de explotación de los dos fallos el mismo 21 de octubre, y Cloudflare contó millones de intentos esa misma tarde.
- Gobiernos y empresas desconectando webs. Varios organismos públicos y empresas han apagado servicios de forma preventiva mientras actualizaban.
- La recomendación oficial es tajante. CISA, la agencia de ciberseguridad de Estados Unidos, pide actualizar de inmediato y, si no se puede, sacar el sistema de internet hasta poder hacerlo.
Qué significa para una pyme
Si tu web está hecha en WordPress, WooCommerce o PrestaShop, te afecta casi seguro. No importa que WordPress, los plugins y las contraseñas estén al día: el fallo está en PHP, por debajo de todo eso.
Lo que tienes que mirar es una sola cosa: qué versión de PHP usa tu servidor. Las versiones corregidas son estas:
Las versiones que necesitas
Si tu servidor no está en una de estas versiones o en una posterior, está expuesto:
- PHP 8.5: actualizar a 8.5.12.
- PHP 8.4: actualizar a 8.4.27.
- PHP 8.3: actualizar a 8.3.36.
- PHP 8.2: actualizar a 8.2.35.
- PHP 8.1 o anterior: ya no tiene soporte oficial. El equipo de PHP ha publicado correcciones mínimas para 7.4, 8.0 y 8.1, pero solo sirven a quien compila PHP por su cuenta. Para una pyme, la salida realista es subir a 8.2 o superior.
Qué haría yo hoy
Primero, mira tu versión de PHP. En WordPress está en Herramientas, Salud del sitio, Información, apartado Servidor. En el panel de tu hosting suele aparecer en la sección de PHP o de configuración del dominio.
Segundo, si tienes hosting compartido, escribe hoy a tu proveedor. En la mayoría de casos son ellos quienes actualizan PHP. Pregunta por escrito si ya han aplicado la versión corregida y en qué fecha.
Tercero, si tienes servidor propio o VPS, actualiza PHP y reinicia el servicio. Si estás en 8.1 o anterior, prueba la web en 8.2 o superior en una copia antes de cambiar, porque algún plugin antiguo puede fallar.
Cuarto, no te olvides de las webs secundarias. El blog antiguo, la landing de una campaña, la intranet o una aplicación interna hecha en PHP. Es lo que nadie actualiza.
Quinto, si usas Cloudflare, ha desplegado reglas de protección para todos sus clientes, incluido el plan gratuito. Ayuda mientras actualizas, pero no sustituye al parche: el propio equipo de PHP insiste en que la única solución completa es actualizar.
Si quieres que lo miremos contigo
Desarrollamos y mantenemos software a medida, aplicaciones web y tiendas online, y como CTO externo nos encargamos de que esto no dependa de que alguien se acuerde.
Agenda una reunión de treinta minutos. Revisamos contigo qué webs y aplicaciones de tu empresa funcionan con PHP, en qué versión están y quién tiene que actualizarlas. Si hay algo urgente, te lo decimos en la misma llamada. Sin compromiso.
Fuentes
Este artículo se apoya en las siguientes publicaciones, consultadas el 23 de octubre de 2026:
Preguntas frecuentes
Es el nombre de dos vulnerabilidades críticas en PHP, CVE-2026-109618 y CVE-2026-109619, publicadas con sus parches el 21 de octubre de 2026. Tienen una puntuación CVSS de 9.2 y permiten ejecutar código en un servidor sin necesidad de iniciar sesión.
Muy probablemente sí, porque WordPress funciona sobre PHP y el fallo está en PHP, no en WordPress. Da igual que WordPress y los plugins estén actualizados: lo que hay que comprobar es la versión de PHP del servidor. Wiz Research demostró el ataque en WordPress, Drupal y Joomla.
PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o una posterior dentro de cada rama. PHP 8.1 y las versiones anteriores ya no tienen soporte oficial, así que lo recomendable es subir a 8.2 o superior.
En WordPress, entra en Herramientas, Salud del sitio, pestaña Información y abre el apartado Servidor. En otros casos, la versión aparece en el panel de control de tu hosting, normalmente en la sección de PHP o de configuración del dominio. Si no lo encuentras, pregúntaselo a tu proveedor de hosting.
Sí, aunque la actualización la haga normalmente el proveedor. Escribe hoy a tu hosting y pregunta si ya ha aplicado la versión corregida de PHP en tu servidor y en qué fecha. Si tu web usa una versión antigua de PHP elegida por ti en el panel, puede que tengas que cambiarla tú.
Los encontraron investigadores de Wiz y de la firma Calif con ayuda de modelos de IA como GPT-5.6 Sol y Gemini 4 Argon. Los fallos llevaban años en el código, pero aprovecharlos exigía una cadena de pasos muy compleja que la IA ayudó a resolver.