¿Afecta PHP2Shell a mi web? Cómo comprobar la versión de PHP

WindowsMacActualizado

El equipo de seguridad de PHP publicó el 21 de octubre de 2026 la corrección de dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, que la agencia estadounidense CISA dice que se conocen como "php2shell". Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para saber en qué situación está tu web necesitas un solo dato: la versión de PHP con la que la ejecuta tu alojamiento.

Respuesta rápida

En WordPress, la versión de PHP aparece en Herramientas > Salud del sitio > Información > Servidor. También puedes verla en el panel de tu hosting o preguntando a tu proveedor. Según el aviso de PHP, las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si la tuya es anterior a la corrección de su rama, pide a tu hosting que la actualice.

¿Qué versiones de PHP están afectadas y cuáles corregidas?

El aviso de PHP del 21 de octubre de 2026 dice que los fallos afectan a todas las instalaciones de PHP que atienden peticiones web, y que pueden permitir la ejecución remota de código sin autenticación. Dicho de forma sencilla: alguien podría ejecutar sus propias órdenes en el servidor sin iniciar sesión. El aviso de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, enumera como afectadas las ramas 8.2, 8.3, 8.4 y 8.5 anteriores a sus versiones corregidas.

El proyecto PHP publicó una versión corregida para cada rama con soporte:

Tu versión empieza porCorregida en
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35

INCIBE-CERT recuerda que las medidas temporales reducen la exposición a rutas concretas, "pero la actualización es la única solución completa".

Sobre la explotación, a 23 de octubre de 2026: CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. INCIBE-CERT indica en su aviso INCIBE-2026-762 que "se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones". El aviso de PHP dice que existe un exploit demostrado contra una configuración habitual, Apache con mod_php, que considera la de mayor riesgo.

¿Cómo veo la versión de PHP en WordPress?

WordPress la muestra en Salud del sitio. La página de WordPress.org en español sobre cómo actualizar PHP da estos pasos.

  1. Accede al escritorio de WordPress.
  2. Ve a Herramientas > Salud del sitio.
  3. Abre la pestaña Información.
  4. Despliega la sección Servidor.
  5. Busca la línea Versión de PHP.

La documentación de WordPress describe esta pestaña como solo informativa, así que desde ahí no cambias nada. En la pestaña Estado puede aparecer además un aviso crítico de que tu sitio usa una versión de PHP desactualizada. WordPress lo clasifica como un problema de seguridad.

¿Cómo veo la versión de PHP en cPanel?

Si tu hosting te da cPanel, la herramienta MultiPHP Manager muestra tus dominios y la versión de PHP de cada uno. La documentación de cPanel, en inglés, la coloca en la sección Software. Si tu panel está en español, los nombres de los menús pueden aparecer traducidos.

  1. Entra en cPanel.
  2. Abre MultiPHP Manager.
  3. Busca tu dominio en la lista y mira su versión de PHP.

Si el dominio muestra la etiqueta Inherited (heredada), cPanel explica que usa la versión predeterminada del sistema, que solo fija el administrador del servidor. En ese caso, la versión que ves la elige tu hosting, y también le toca a él actualizarla. Si no encuentras MultiPHP Manager, puede que tu proveedor la haya desactivado, cosa que cPanel permite.

Otros paneles usan nombres distintos; mira la ayuda de tu hosting.

¿Y si no encuentro la versión de PHP?

Pregunta a tu hosting. La misma página de WordPress sugiere escribir a tu proveedor si no encuentras el ajuste, y ofrece una plantilla de correo para pedir el cambio a la última versión de PHP. Para este caso, haz dos preguntas claras:

  1. ¿Qué versión de PHP usa ahora mismo mi web?
  2. ¿Está actualizada a la versión corregida del aviso de seguridad de PHP del 21 de octubre de 2026 (8.5.12, 8.4.27, 8.3.36 u 8.2.35)?

Si tienes varias webs o dominios en la cuenta, pregunta por cada uno. La documentación de cPanel muestra que cada dominio puede usar una versión distinta.

Mi versión no está corregida. ¿Qué hago?

Actualiza PHP, o pide a tu hosting que lo haga. El aviso de PHP enumera algunos ajustes temporales que reducen la exposición, pero dice que no hacen segura una instalación. El orden que propone el NCSC, el centro de ciberseguridad del Reino Unido, es: actualizar, aplicar las mitigaciones temporales si no puedes actualizar y plantearte desconectar el sistema si ninguna de las dos cosas puede hacerse rápido. INCIBE-CERT dice que un sistema expuesto a internet que no se pueda actualizar debe aislarse de las redes públicas hasta aplicar una versión corregida.

Cómo se actualiza depende de quién gestione el servidor:

  1. En un alojamiento compartido o gestionado, PHP es cosa de tu proveedor. Pídele que pase tu web a la versión corregida, o a una rama con soporte que la tenga.
  2. Si tu panel te deja elegir versión, quizá puedas cambiarla tú. Nuestra guía sobre cómo actualizar PHP en WordPress lo explica paso a paso, con copia de seguridad primero.

Si no puedes actualizar enseguida, el NCSC aconseja revisar el sistema en busca de señales de intrusión. Nuestra guía sobre qué hacer si te han hackeado la web lo cuenta desde el punto de vista del dueño de la web.

¿Y si mi web usa PHP 8.1 o una versión anterior?

El proyecto PHP dice que PHP 8.1 y anteriores ya no reciben actualizaciones suyas, que algunas distribuciones y proveedores de soporte extendido ofrecen correcciones adaptadas, y que conviene preguntar al proveedor o pasar a una versión con soporte. Para una web personal, eso significa preguntar a tu hosting si ha aplicado una corrección a tu versión. La alerta de CISA pide desconectar los sistemas con PHP 8.1 o anterior si no pueden actualizarse de inmediato.

La página de versiones con soporte de PHP muestra además que PHP 8.2 solo recibe correcciones de seguridad hasta el 31 de diciembre de 2026, así que una web en 8.2.35 está corregida por ahora, pero pronto necesitará una rama más nueva. WordPress recomienda PHP 8.3 o superior.

¿Un comprobador online de vulnerabilidades de PHP me dice si estoy a salvo?

Ninguna de las páginas oficiales citadas abajo menciona comprobadores online. Lo que da el aviso de PHP es una lista de versiones corregidas, así que la comprobación que cuenta es qué versión usa tu web y si está en la corrección de su rama o por encima. Tu hosting puede confirmarlo, y Salud del sitio o tu panel lo muestran.

Más preguntas

¿Qué es PHP2Shell?

Es el nombre con el que, según CISA, se conocen CVE-2026-109618 y CVE-2026-109619. Las dos están en el propio PHP, no en WordPress ni en un plugin. Nuestra explicación de la vulnerabilidad de PHP lo cuenta con más detalle.

¿PHP 8.3.36 está a salvo de PHP2Shell?

PHP 8.3.36 es la versión corregida de la rama 8.3, según el aviso de PHP del 21 de octubre de 2026. Las otras versiones corregidas son 8.5.12, 8.4.27 y 8.2.35. El 23 de octubre PHP publicó además un aviso informativo sobre otro problema distinto e improbable, que solo afecta a configuraciones de sesión poco habituales.

¿Afecta a mi WordPress aunque esté actualizado?

Sí, puede. Los fallos están en PHP, el lenguaje con el que funciona WordPress, y el aviso dice que afectan a todas las instalaciones de PHP que atienden peticiones web. Mantener WordPress, temas y plugins al día sigue siendo buena práctica, pero la solución a este problema es una versión nueva de PHP.

Mi hosting dice que ya está corregido. ¿Tengo que hacer algo?

Compara la versión que ves en Salud del sitio o en tu panel con la lista de versiones corregidas, para saber que se aplica a tu web. Si tienes varios dominios, revisa cada uno. Si tienes motivos para pensar que alguien modificó la web antes de la actualización, busca señales de intrusión, como aconseja el NCSC.

Fuentes