Cómo comprobar si tu web es vulnerable a PHP2Shell, sin riesgos

WindowsMacActualizado

El aviso del proyecto PHP del 21 de octubre de 2026 enumera las versiones de PHP que corrigen PHP2Shell: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Esa lista es la prueba. Si la versión de PHP de tu web está en la corrección de su rama o por encima, la actualización que pide el aviso está aplicada. Esta guía está actualizada a 23 de octubre de 2026.

Respuesta rápida

Compara la versión de PHP de tu web con las versiones corregidas, lee los avisos de tu hosting y de los fabricantes del software que usas, y busca los productos que incluyen PHP en la lista de NCSC-NL en GitHub. Un escáner no sustituye a eso. La solución del aviso es actualizar, y solo debes analizar webs que sean tuyas o para las que tengas permiso.

¿Qué dicen las fuentes oficiales que hay que comprobar?

Ninguno de los avisos oficiales sobre PHP2Shell pide a los particulares que usen un escáner. El aviso de PHP dice que los fallos afectan a todas las instalaciones de PHP que atienden peticiones web y que solo una actualización es una solución completa. El aviso de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, recomienda actualizar PHP de inmediato a la versión corregida de cada rama. El NCSC, el centro de ciberseguridad del Reino Unido, pide localizar dónde se usa PHP, actualizar y seguir atento a los fabricantes cuyos productos incluyen PHP. La agencia estadounidense CISA pide inventariar todos los sistemas con cualquier versión de PHP y actualizarlos.

Para quien tiene un blog, una tienda pequeña o la web de un club, eso se reduce a dos comprobaciones: la versión de tu web y los avisos de las empresas cuyo software o alojamiento usas.

¿Cómo compruebo mi versión de PHP?

Necesitas el número exacto con el que funciona tu web, por ejemplo 8.3.36, no solo "PHP 8". Nuestra guía sobre cómo comprobar la versión de PHP de tu web muestra dónde verlo en WordPress y en un panel de hosting, y qué preguntar a tu proveedor si no lo encuentras.

El NCSC añade una advertencia que importa aquí: no limitar la búsqueda a las versiones antiguas de PHP. Dice que las organizaciones que usan cualquier versión de PHP están afectadas, así que una versión que parece reciente también hay que compararla con la lista.

¿Y los avisos de mi hosting y de otros fabricantes?

Tu hosting gestiona el servidor, así que su aviso suele ser la respuesta más clara que vas a tener. Busca un correo, una página de estado o un artículo de ayuda sobre el aviso de PHP del 21 de octubre, y comprueba que nombra la versión corregida de la rama que usa tu web. Si no hay nada, pregunta.

PHP también puede ir dentro de otros productos. CISA dice que PHP suele ser un componente de otro software y que su presencia puede no ser directamente visible. El NCSC pide vigilar las actualizaciones de los fabricantes de aparatos y servicios que incluyen PHP. Si tienes un NAS o un router con página de administración web, el aviso de seguridad del fabricante es el sitio donde mirar. Nuestra guía sobre PHP2Shell en Synology y QNAP recoge lo que han dicho esos dos.

¿Qué es la lista de NCSC-NL en GitHub?

El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC-NL) mantiene un repositorio público en github.com/NCSC-NL/php2shell. La página del NCSC británico sobre PHP2Shell dice que NCSC-NL ha publicado un inventario de productos de software con una dependencia de PHP que puede estar afectada.

El repositorio, en inglés, se describe como información operativa sobre CVE-2026-109618 y CVE-2026-109619. Tiene tres partes: listas de productos de software con una dependencia de PHP que puede estar afectada, material de detección y mitigación, y herramientas para generar los archivos del propio repositorio. Su tabla de últimas actualizaciones muestra la fecha, el fabricante, el producto, la versión, un estado para los dos fallos y enlaces. Entre los estados aparecen Fix (corregido), Vulnerable e Investigation (en investigación). El README dice que se actualiza a medida que evoluciona la situación.

Para usarla, busca los productos que tienes por fabricante y nombre, y sigue el enlace al aviso del propio fabricante para ver el detalle. El README no dice que la lista esté completa, así que, si un producto no aparece, eso no significa que no esté afectado.

¿Un escáner online de vulnerabilidades de PHP me dice si estoy a salvo?

Te dice algunas cosas, con límites. La guía general del NCSC sobre escaneo de vulnerabilidades explica que estos escáneres recogen datos de un sistema, lo que llama "fingerprinting" o "banner grabbing", y los comparan con productos vulnerables conocidos. Dice que el escaneo automático no se puede comparar con procesos manuales como una prueba de intrusión, que estos escáneres buscan amplitud y no profundidad, y que pueden dar falsos positivos, un fallo que no existe, y falsos negativos, un fallo real que se les escapa.

En el caso de PHP2Shell, el proyecto PHP no menciona escáneres en su aviso, y su solución es actualizar. Diga lo que diga un análisis, lo que necesitas saber sigue siendo la versión exacta de PHP de tu servidor y si está en la versión corregida. Si un escáner y tu hosting no coinciden, pide a tu hosting que te confirme la versión por escrito.

Analiza solo webs que sean tuyas o para las que tengas permiso claro, y no ejecutes nunca código de explotación contra la web de otra persona. En España, el artículo 197 bis del Código Penal castiga con pena de prisión de seis meses a dos años a quien, "por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo". Esto no es un análisis jurídico de ninguna herramienta ni de ningún escaneo concreto. Si tienes dudas sobre tu caso, consulta con un profesional del derecho.

Si tu web está en el servidor de una empresa de alojamiento, pregúntale antes de hacer nada más que consultar la versión.

Más preguntas

¿Hay un escáner oficial de PHP2Shell?

Ninguna de las páginas oficiales citadas abajo ofrece un escáner para particulares. El repositorio de NCSC-NL contiene material de detección y mitigación, pero su README no describe ningún escáner. La respuesta del aviso de PHP es actualizar a 8.5.12, 8.4.27, 8.3.36 u 8.2.35.

¿Se ha aprovechado PHP2Shell?

A 23 de octubre de 2026: CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. CERT-EU dice que han empezado a circular las primeras pruebas de concepto, y el aviso de QNAP dice que se han comunicado públicamente intentos de explotación contra PHP.

El escáner dice que mi web es vulnerable. ¿Qué hago?

Compara tu versión de PHP con la lista de versiones corregidas y pide a tu hosting que te la confirme. Si no está corregida, actualízala o pide que lo hagan. Si ves algo raro en la propia web, nuestra guía sobre qué hacer si te han hackeado la web cubre la primera hora.

Mi hosting dice que está corregido, pero un escáner dice que no. ¿Quién tiene razón?

Según la guía de escaneo del NCSC, los escáneres pueden dar falsos positivos, y la solución del aviso depende de la versión de PHP de tu servidor. Pide a tu hosting la versión exacta de tu web y compárala tú con las versiones corregidas.

¿Un cortafuegos corrige PHP2Shell?

CISA dice que un cortafuegos de aplicaciones web puede dar cierta protección hasta que los sistemas se actualicen. El aviso de PHP dice que sus medidas temporales reducen la exposición, pero no hacen segura una instalación. La solución sigue siendo actualizar.

Fuentes