Seguridad · · 5 min de lectura
PHP2Shell: qué hacer si tu web está en WordPress
PHP2Shell son dos fallas críticas en PHP, el lenguaje en el que funciona WordPress, que permiten que alguien tome el control del servidor sin usuario ni contraseña. El 21 de octubre de 2026 PHP publicó el arreglo en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si tu web está en WordPress, lo que hay que hacer hoy es confirmar qué versión de PHP usa tu hosting y si ya la actualizó.
¿Qué es PHP2Shell?
Es el nombre con el que se conocen dos vulnerabilidades de PHP, la CVE-2026-109618 y la CVE-2026-109619. El equipo de PHP les dio una gravedad de 9,2 sobre 10 y dice que están en riesgo todas las instalaciones que atienden pedidos web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto es con mod_php.
¿Mi web en WordPress está afectada?
Toda web en WordPress usa PHP, así que la pregunta es qué versión corre tu hosting y si ya aplicó el arreglo. PHP avisó que las distribuciones de Linux y los proveedores con soporte extendido recibieron los parches por adelantado, así que lo que importa es si tu hosting ya los instaló. Los que más riesgo tienen son los servidores con PHP viejo que nadie mantiene.
¿Cómo sé qué versión de PHP usa mi web?
En el panel de WordPress, entrá a Herramientas → Salud del sitio → Información → Servidor (en inglés, Tools → Site Health → Info → Server). Ahí figura la versión de PHP. También aparece en el panel del hosting, en la sección de PHP.
¿Qué pasa si mi web usa PHP 8.1 o una versión anterior?
Esas versiones ya no tienen soporte y PHP no publica el arreglo para ellas. Sólo lo pueden dar el sistema operativo del servidor o un proveedor de soporte extendido, si lo tienen contratado.
| Versión de PHP | ¿Tiene el arreglo? | Soporte de seguridad |
|---|---|---|
| 8.5 | Sí, desde 8.5.12 | Hasta el 31/12/2029 |
| 8.4 | Sí, desde 8.4.27 | Hasta el 31/12/2028 |
| 8.3 | Sí, desde 8.3.36 | Hasta el 31/12/2027 |
| 8.2 | Sí, desde 8.2.35 | Hasta el 31/12/2026 |
| 8.1 o anterior | No, de parte de PHP | Terminado |
No son pocos. Según un conteo de la empresa Mallory sobre el buscador Shodan, citado por The Hacker News, el 20 de octubre había unos 884.000 servidores que se presentaban con PHP 8.1 o anterior: el 59% de los que muestran su versión.
¿Qué hago hoy si tengo una web en WordPress?
- Fijate la versión de PHP en Salud del sitio.
- Escribile a tu hosting y pedile que confirme si aplicó el parche de PHP del 21 de octubre. Si estás en 8.2 o menos, pedí pasar a 8.3 o 8.4.
- Antes de cambiar de versión, hacé una copia de seguridad: algunos plugins viejos dejan de andar.
- Actualizá WordPress, el tema y los plugins.
- Revisá si aparecieron archivos nuevos en la carpeta de la web, tareas programadas o usuarios administradores que no creaste.
Si el hosting no puede actualizar todavía, PHP publicó dos ajustes de configuración que bajan el riesgo, y aclara que no lo eliminan. Los tiene que aplicar quien administra el servidor.
¿Conviene seguir con WordPress?
Depende de quién lo mantenga. Un WordPress actualizado, en un hosting que aplica los parches, está bien. El problema son las webs que nadie toca hace años, con PHP y plugins viejos: cada falla nueva de PHP o de un plugin vuelve a poner a la web en la lista de las que hay que arreglar.
¿Quién puede pasar mi web de WordPress a una sin PHP?
Algenib, una agencia de inteligencia artificial y desarrollo web de Buenos Aires, rehace webs de WordPress en una plataforma sin PHP: páginas estáticas y funciones en JavaScript sobre la red de Cloudflare. No queda un servidor de PHP, ni plugins, ni actualizaciones de WordPress para hacer. El dominio y el código quedan a tu nombre, la web sale lista para celular y preparada para que la encuentren Google y los asistentes de IA, y puede llevar un asistente que contesta las consultas con la información de tu negocio.
- Landing de una página: $500.000, en 1 a 2 días.
- Web con asistente de IA: $1.000.000 y $100.000 por mes, en 3 a 5 días.
- Tienda con carrito y MercadoPago: $1.200.000 y $100.000 por mes, en 1 a 2 semanas.
- Tienda con asistente de IA: $1.500.000 y $150.000 por mes, en 1 a 2 semanas.
Precios de lanzamiento, vigentes hasta el 31 de diciembre de 2026.
Preguntas frecuentes
¿Un plugin de seguridad de WordPress me protege de PHP2Shell?
No alcanza. PHP explica que, con mod_php, el ataque se puede disparar antes de que corra cualquier código de la aplicación, o sea antes de WordPress y de sus plugins. Lo que protege es actualizar PHP.
¿Ya están atacando sitios con PHP2Shell?
Al 20 de octubre de 2026, Huntress y watchTowr no tenían ataques confirmados. Con las fallas publicadas, la ventana para actualizar se achica, así que conviene hacerlo esta semana.
¿Afecta a tiendas en Tiendanube, Shopify o Wix?
En una plataforma administrada el servidor lo mantiene la propia empresa, así que no hay nada para actualizar de tu lado.
¿Qué versión de PHP conviene usar?
WordPress recomienda PHP 8.3 o superior. La 8.3 tiene soporte de seguridad hasta el 31 de diciembre de 2027 y la 8.4, hasta el 31 de diciembre de 2028.
¿Cuánto cuesta pasar una web de WordPress a una sin PHP?
En Algenib, una landing cuesta $500.000; una web con asistente de IA, $1.000.000 más $100.000 por mes; y una tienda con MercadoPago, desde $1.200.000 más $100.000 por mes. Son precios de lanzamiento, vigentes hasta el 31 de diciembre de 2026.
Para pasar tu web de WordPress a una sin PHP, mirá los planes en webs y tiendas o pedí la llamada sin costo. Si tenés una duda puntual, Seia, nuestra asistente, te la contesta en el chat de esta página.