Actualizado el 26 de octubre de 2026
El 21 de octubre, los responsables de PHP publicaron parches de emergencia para dos fallas críticas, bautizadas como PHP2Shell. Varios gobiernos de Europa desconectaron sitios de forma preventiva y la noticia llegó a medios como BBC y La Tercera.
Si tu empresa tiene un sitio en WordPress, esto te afecta directamente. La buena noticia es que revisarlo toma dos minutos y, en la mayoría de los casos, la solución es simple.
Qué pasó, en simple
PHP es el lenguaje que hace funcionar WordPress, WooCommerce, Joomla y buena parte de los sitios de internet. Las dos fallas (CVE-2026-109618 y CVE-2026-109619) permiten que un atacante ejecute código en el servidor sin necesidad de usuario ni contraseña. Ambas tienen una gravedad de 9,2 sobre 10.
El problema estuvo escondido en el código de PHP por más de una década. Hay intentos de ataque reportados desde antes de que se publicaran los parches, según Tenable.
Por qué afecta a WordPress aunque WordPress no sea el problema
Acá está la confusión más común: actualizar WordPress, el tema o los plugins no soluciona PHP2Shell. La falla está en el servidor, no en tu sitio.
La versión de PHP la controla tu proveedor de hosting o quien administra el servidor. Por eso un sitio puede tener todo «al día» en el panel de WordPress y seguir expuesto. Mantener los plugins al día sigue siendo necesario (en esta guía repasamos los esenciales), pero no reemplaza revisar el servidor.
Cómo revisar tu versión de PHP en 2 minutos
- Entra al panel de WordPress.
- Ve a Herramientas › Salud del sitio.
- Abre la pestaña Información y despliega Servidor.
- Busca la línea «Versión de PHP».
También puedes verlo en el panel de tu hosting (cPanel, Plesk u otro), normalmente en una opción llamada «Seleccionar versión de PHP».
Versiones seguras
| Si tu PHP es… | Situación |
|---|---|
| 8.5.12 o superior | Corregido |
| 8.4.27 o superior | Corregido |
| 8.3.36 o superior | Corregido |
| 8.2.35 o superior | Corregido |
| 8.2 a 8.5 bajo esas versiones | Vulnerable: pide la actualización a tu hosting |
| 8.1 o anterior (7.x, 5.x) | Sin corrección oficial: hay que migrar a una versión soportada |
Si tu sitio usa PHP 7.x, la migración requiere revisar que el tema y los plugins sean compatibles. En sitios antiguos, subir de versión sin probar puede dejar páginas o formularios sin funcionar.
Qué hacer si tu versión está en riesgo
- Haz un respaldo completo del sitio (archivos y base de datos).
- Actualiza PHP desde el panel del hosting o pídeselo a soporte.
- Prueba el sitio: página de inicio, formularios de contacto y, si tienes tienda, el proceso de compra.
- Revisa señales de intrusión: usuarios administradores que no reconoces, archivos nuevos en la carpeta de subidas o cambios que nadie hizo.
El punto 4 es importante: actualizar evita ataques nuevos, pero no saca a alguien que ya haya entrado.
Si no sabes quién administra tu hosting
Es más común de lo que parece. El sitio lo hizo una agencia o un freelance, el hosting lo pagó alguien que ya no está en la empresa y nadie tiene claro a quién preguntar.
En ese caso, empieza por buscar en el correo de la empresa facturas o avisos de renovación de dominio y hosting. Ahí suele estar el nombre del proveedor y el acceso al panel.
Preguntas frecuentes
¿Mi sitio en Wix, Squarespace o Shopify está afectado?
Esas plataformas administran sus propios servidores. Si hay riesgo, lo resuelven ellas. Esta alerta afecta sobre todo a sitios en hosting propio o compartido.
¿Mi hosting ya lo arregló?
Muchos proveedores actualizaron rápido, pero no todos. La única forma de saberlo es revisar la versión como se explica arriba.
¿Tengo que hacer algo si tengo Cloudflare?
Cloudflare activó reglas que bloquean ataques conocidos, pero es una protección temporal. Igual hay que actualizar PHP.
¿Hay más fallas pendientes?
El 23 de octubre PHP informó una tercera falla, de menor alcance, que se corregirá en la próxima actualización regular (The Hacker News).
¿Quieres que lo revisemos por ti?
En Partícula hacemos un diagnóstico de seguridad de tu sitio WordPress en 48 horas: versión de PHP, estado de WordPress y plugins, y señales de intrusión. Te decimos en qué situación estás y qué hacer, sin compromiso.
Fuentes: Tenable, WPBeginner, La Tercera, BioBíoChile.