Vulnerabilidad en PHP (PHP2Shell): qué versiones afecta y qué hacer en tu sitio

El 21 de octubre de 2026, el equipo de PHP corrigió PHP2Shell, una vulnerabilidad en PHP formada por dos fallas críticas (CVE-2026-109618 y CVE-2026-109619), cada una con un puntaje de 9,2 sobre 10 (CVSS v4.0). Permiten que alguien, sin usuario ni clave, ejecute código en el servidor que atiende tu sitio. Afectan a toda instalación de PHP que sirve páginas web, y la única solución completa es actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Si tu sitio usa WordPress, WooCommerce u otro sistema hecho en PHP, aquí está cómo saber si te afecta y qué hacer.

¿Qué es PHP2Shell?

PHP es el lenguaje en que están hechos WordPress, WooCommerce y buena parte de los sitios web: se ejecuta en el servidor cada vez que alguien visita una página. PHP2Shell es el nombre que se le dio a dos fallas en el propio PHP, no en un plugin ni en un tema:

Según el aviso de PHP, están en riesgo todas las instalaciones que atienden visitas web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php, donde se demostró un ataque que se activa antes de que corra el código de tu sitio. Por eso no basta con tener WordPress y los plugins al día: la falla está un piso más abajo.

¿Ya la están usando para atacar sitios?

Sí. Según Datadog Security Labs, AWS detectó intentos de explotación desde el 17 de octubre, cuatro días antes del anuncio, y después hubo escaneos masivos sin un blanco definido. Así trabajan los bots: no eligen víctimas, prueban la falla en todos los sitios que encuentran. Lo explicamos en cómo funcionan los bots que buscan vulnerabilidades.

¿Qué versiones de PHP están afectadas?

Un detalle: algunos hostings y sistemas operativos aplican el parche sin cambiar el número de versión. Si tu sitio muestra una versión antigua de la rama, pregúntale a tu proveedor si ya aplicó la corrección del 21 de octubre antes de asumir lo peor.

Lo que vimos en sitios web chilenos

En nuestro estudio de 300 sitios web de negocios con dominio .cl, elegidos al azar y revisados el 1 de octubre de 2026, antes del anuncio, 49 mostraban públicamente su versión de PHP en las cabeceras del servidor. De esos 49, 25 usaban PHP 8.1 o anterior, versiones que ya no reciben actualizaciones del proyecto PHP: 9 con PHP 7.4 y 3 con PHP 5. Mostrar la versión, además, le ahorra trabajo a un atacante. Puedes ver qué muestra el tuyo con el verificador de seguridad web gratis.

Cómo saber qué versión de PHP usa tu sitio

1. En WordPress: entra a Herramientas → Salud del sitio → pestaña Información → sección Servidor. Ahí aparece la versión de PHP.
2. En cPanel: las opciones «Seleccionar versión de PHP» o «MultiPHP Manager» muestran la versión de cada dominio.
3. Si no tienes acceso: pregúntale a tu hosting la versión exacta y si ya aplicó el parche del 21 de octubre.

Revisa la versión que atiende las visitas, no la de la línea de comandos del servidor: pueden ser distintas.

Qué hacer ahora, paso a paso

1. Saca un respaldo completo del sitio y de la base de datos antes de tocar nada.
2. Si usas PHP 8.2, 8.3, 8.4 u 8.5, pídele a tu hosting que confirme que ya instaló la versión corregida. En un hosting compartido esa actualización la hace el proveedor.
3. Si usas PHP 8.1 o anterior, cambia a 8.3 o superior, que es lo que recomienda WordPress. Antes, prueba en una copia del sitio que el tema y los plugins funcionen: los plugins antiguos son los que más fallan con el cambio.
4. Después del cambio, revisa los formularios, el carrito, el pago y los correos que envía el sitio.
5. Busca señales de que ya entraron: archivos .php dentro de wp-content/uploads/, administradores que no conoces o tareas programadas extrañas.
6. Deja de mostrar la versión de PHP (opción expose_php = Off), para no anunciarla en cada visita.

Si encuentras algo raro en el paso 5, sigue nuestra guía de emergencia para WordPress hackeado.

¿Sirven las medidas temporales?

El aviso de PHP propone ajustes para quien todavía no puede actualizar, como desactivar session.upload_progress.enabled y cambiar los límites de memoria. Pero el mismo aviso dice que esas medidas no dejan una instalación segura: solo reducen el riesgo mientras actualizas. Además, deben aplicarse en la configuración del servidor; el aviso advierte que no sirve hacerlo desde el código con ini_set() ni con el archivo .user.ini de PHP-FPM. Por eso un plugin de WordPress no puede resolverlo.

El 23 de octubre, PHP publicó otro aviso (CVE-2026-115560) que recomienda dejar session.upload_progress.enabled=0 hasta su próxima versión regular. Esa falla solo aparece con una configuración poco común, y PHP la considera improbable en la práctica.

¿Y si tengo un hosting compartido?

En un hosting compartido no instalas PHP tú: lo hace el proveedor. Tu parte es elegir una versión vigente en cPanel y confirmar con soporte que ya está corregida. Si tu hosting no responde o solo ofrece versiones antiguas, es momento de cambiarte; te contamos qué revisar en cómo elegir hosting en Chile.