Revisado el 22 de octubre de 2026 · Guía para propietarios de webs y WordPress

Tu web puede abrir con normalidad y seguir necesitando una actualización urgente de PHP. El 21 de octubre se publicaron los parches de dos vulnerabilidades críticas, conocidas como PHP2Shell, que pueden permitir ejecutar código en un servidor sin iniciar sesión. El fallo está en PHP, el software que utiliza el alojamiento para ejecutar WordPress y muchas otras aplicaciones.

Si has recibido un aviso de tu hosting, has leído la noticia o tu web muestra un error después de actualizar, conviene separar las cosas: estar expuesto, tener una avería y haber sufrido una intrusión son situaciones distintas. Aquí tienes cómo comprobar la versión, qué pedir al proveedor y cómo actuar en cada caso.

La acción prioritaria: confirmar que el PHP que atiende tu dominio lleva los parches. Actualizar WordPress, los plugins o el tema no sustituye esta actualización del servidor.

Ve directamente a tu caso: comprobar mi versión · qué escribir al hosting · mi web da error · veo cambios sospechosos.

1. Cómo comprobar tu versión de PHP en WordPress

En WordPress, entra con una cuenta administradora y abre Herramientas → Salud del sitio → Información. No te quedes en la pestaña Estado.

Despliega Servidor y localiza Versión de PHP. Apunta el número completo: «8.3» no permite distinguir una revisión vulnerable de otra corregida.

Si no puedes entrar en WordPress, consulta el panel de alojamiento o pide el dato al soporte. Hazlo para cada dominio y subdominio: pueden utilizar versiones diferentes. Evita subir un archivo público con toda la configuración de PHP solo para averiguarlo.

Versiones que corrigen PHP2Shell

Estas revisiones figuran en el aviso oficial de PHP del 21 de octubre de 2026. Utiliza esa revisión o una posterior de la misma rama que incluya las correcciones.

Hay una excepción importante: algunos proveedores incorporan el parche a sus propios paquetes sin cambiar el número principal mostrado. Si tu versión parece anterior y el hosting dice que está corregida, pide la referencia del paquete y del aviso que cubra ambas CVE. Una respuesta genérica como «tenemos el servidor actualizado» no permite comprobarlo.

PHP 8.1 y anteriores ya no reciben soporte del proyecto PHP. Puede haber parches del proveedor, pero no des por hecho que existen en tu plan: pide confirmación y prepara la migración a una rama mantenida.

2. Qué pedir al hosting para confirmar el parche de PHP

El panel puede permitir elegir «PHP 8.3» sin mostrar qué revisión instala. Antes de cambiar opciones a ciegas, abre una consulta al proveedor. Puedes adaptar este mensaje:

Asunto: confirmar parches de PHP2Shell en mi dominio

Hola. Necesito confirmar si el PHP que atiende las peticiones web de [mi dominio] incorpora las correcciones de CVE-2026-109618 y CVE-2026-109619.

¿Qué versión y paquete están activos? Si habéis aplicado un parche del proveedor, indicad su referencia. Confirmad también que los procesos que sirven la web ya ejecutan la versión corregida y si debo hacer alguna actuación desde mi panel.

Si todavía no está parcheado, indicad cuándo podéis hacerlo y qué medida de aislamiento proponéis mientras tanto. Gracias.

Guarda la respuesta. Si administras un VPS, comprobar únicamente php -v en la consola puede llevarte a una conclusión equivocada: la consola y la web pueden usar instalaciones distintas. La comprobación debe corresponder al servicio que atiende el dominio.

Si nadie te confirma qué se ha instalado, podemos ayudarte a revisar el caso. Escríbenos con el dominio y la respuesta del hosting. Con esos datos podremos valorar el trabajo necesario.

3. Cómo actualizar PHP y comprobar que tu web funciona

La actualización corresponde al alojamiento o al administrador del servidor. Si la gestionas tú desde el panel, sigue las instrucciones de ese proveedor: los menús y el alcance de cada cambio varían.

1. Confirma que tienes una copia recuperable de archivos y base de datos. Anota su fecha y cómo se restaura. Una copia que nunca se ha comprobado no es un plan de recuperación.
2. Aplica el parche de tu rama cuando esté disponible. Pasar, por ejemplo, de 8.3.35 a 8.3.36 no es el mismo cambio que saltar de 8.1 a 8.5. Para un salto de rama, revisa compatibilidad de WordPress, tema y plugins y utiliza un entorno de pruebas protegido.
3. Confirma qué versión está funcionando después. Pide al proveedor que compruebe los procesos web activos; no basta con que el paquete esté descargado o instalado.
4. Prueba lo que sostiene el negocio. Abre varias páginas, entra en administración, revisa formularios y, si tienes tienda, carrito y pago en modo de pruebas. Una portada que carga no demuestra que el resto funcione.

Si utilizas cPanel: dónde cambiar la versión de PHP

Con la copia preparada y la compatibilidad revisada, entra en cPanel → Administrador MultiPHP (MultiPHP Manager). Marca únicamente el dominio que vas a cambiar, selecciona la versión acordada con tu proveedor en PHP Version y pulsa Apply / Aplicar. Este es el procedimiento de la documentación oficial de cPanel.

Elegir otra rama en el desplegable no instala por sí solo un parche que falte en el servidor. Si ya utilizas la rama adecuada y solo necesitas la revisión de seguridad, puede bastar con que el hosting actualice sus paquetes. Confírmalo antes de hacer un salto innecesario. Si no aparece una versión corregida o no tienes ese menú, solicita la actualización al proveedor.

Después de aplicar el cambio, vuelve a Salud del sitio → Información → Servidor, comprueba la versión activa y prueba la web. Si el panel o los nombres son distintos, utiliza la guía de tu alojamiento: no cambies otras opciones de PHP para intentar reproducir estos pasos.

La guía de actualización de PHP de WordPress explica la preparación general. Para esta alerta, utiliza las revisiones concretas de la tabla anterior.

Si no se puede parchear a tiempo, solicita al proveedor que valore restringir el acceso público al servicio afectado hasta corregirlo. No alargues la exposición durante días mientras preparas una migración. Una página de mantenimiento dentro de WordPress no equivale a aislar PHP en el servidor.

Mi web da error 500 o un error crítico después de actualizar PHP

Que el fallo haya aparecido tras una actualización es una pista, no un diagnóstico. Puede haber una incompatibilidad de un plugin, una extensión de PHP que falta o una configuración distinta. Un error 500 por sí solo no demuestra un ataque.

Anota la hora del primer fallo, qué cambió y si afecta a toda la web o solo a una acción. Por ejemplo: «la portada abre, pero al guardar un producto aparece un error crítico». Esa descripción ayuda mucho más que «no funciona nada».

Pide al alojamiento el error de PHP registrado en ese momento y que identifique el componente implicado. Si hay que probar otro tema o desactivar un plugin, hazlo de forma controlada y preferiblemente en una copia de pruebas. No publiques los registros completos ni actives la visualización de errores para los visitantes.

No vuelvas a una versión vulnerable para dejar la web abierta. Busca una revisión corregida compatible o resuelve el componente que falla. Si necesitas ayuda, envíanos el dominio, el mensaje visible y desde cuándo sucede.

Qué hacer si sospechas que han entrado en tu web

Un administrador desconocido, páginas que nadie ha publicado, redirecciones extrañas o un aviso de malware justifican investigar. No permiten atribuir automáticamente el incidente a estas dos vulnerabilidades.

Contacta con el alojamiento para contener el problema y conservar registros. Antes de borrar archivos o restaurar una copia, guarda el estado afectado para su revisión y documenta lo que has visto. La recuperación debe combinar el parche, la revisión de archivos y cuentas y, cuando proceda, una restauración limpia y renovación de accesos.

Actualizar PHP cierra estos fallos, pero no elimina una intrusión que ya se haya producido. Y restaurar una copia sin corregir la entrada puede dejar el mismo problema abierto. La guía oficial de WordPress para sitios comprometidos desarrolla este proceso.

Qué corrigen las dos vulnerabilidades de PHP

Los identificadores son CVE-2026-109618 y CVE-2026-109619. Identifican dos fallos diferentes en la gestión de memoria de PHP:

• CVE-2026-109618: al agotarse la memoria, PHP puede interrumpir una operación y acabar utilizando datos internos que no se habían inicializado correctamente.
• CVE-2026-109619: un proceso puede conservar referencias a memoria ya liberada y volver a utilizarlas al atender otra petición.

Ambos pueden desembocar en ejecución remota de código. Los detalles están en los avisos técnicos de PHP sobre el primer fallo y el segundo.

El aviso oficial incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. En mod_php se ha demostrado un ataque que se activa antes de que se ejecute el código de la aplicación. Por eso no basta con instalar un plugin de seguridad o poner WordPress en modo mantenimiento.

No afecta solo a WordPress: revisa también tiendas, aplicaciones a medida y otros servicios que utilicen PHP. ENISA recomienda identificar los sistemas afectados y coordinar la actualización con sus proveedores.

Preguntas frecuentes sobre PHP2Shell

¿Me protege tener Wordfence u otro plugin de seguridad?

No lo tomes como confirmación de que PHP está parcheado. Un plugin puede ayudar en otras capas, pero aquí hay ataques que pueden activarse antes de ejecutar WordPress. La comprobación sigue siendo la versión o el paquete corregido del servidor.

¿Y si el hosting ya ha actualizado automáticamente?

Perfecto: pide la confirmación para tus dominios y comprueba su funcionamiento. Si no hay síntomas ni otros indicios, no tiene sentido afirmar que has sufrido una intrusión solo por haber utilizado una versión afectada.

¿Tengo que cambiar de hosting?

No necesariamente. Lo primero es saber si el proveedor ha corregido el servicio y si tu aplicación funciona. Valora un cambio si no puede ofrecer una versión mantenida o una respuesta verificable, teniendo en cuenta la migración y las copias.

¿Tu web está en riesgo o ha dejado de funcionar?

En PCMADRID podemos ayudarte a revisar la situación y valorar la actualización o reparación que necesita tu web. Cuéntanos qué ocurre antes de seguir cambiando ajustes.

Consultar mi caso con PCMADRID. También puedes conocer nuestros servicios de diseño y mantenimiento web.

Incluye el dominio, el proveedor de alojamiento y el error, si aparece. No envíes contraseñas ni copias de la base de datos por correo; si hacen falta accesos, acordaremos cómo facilitarlos.

Fuentes consultadas el 22/10/2026: avisos del proyecto PHP, comunicación de ENISA y documentación de WordPress enlazados en esta guía. Las capturas son propias y muestran la interfaz en español. Las versiones mínimas indicadas corresponden a las correcciones publicadas el 21/10/2026.