¿Tu web usa PHP 8.1 o anterior? Qué opciones tienes tras PHP2Shell
PHP 8.1 llegó al final de su vida útil el 31 de diciembre de 2025, según la lista de ramas sin soporte del proyecto PHP, y su última versión fue la 8.1.34. Cuando el proyecto corrigió dos fallos críticos el 21 de octubre de 2026, no publicó ninguna versión nueva para 8.1 ni para las anteriores. Esta guía está actualizada a 23 de octubre de 2026.
Respuesta rápida
A 23 de octubre de 2026, solo PHP 8.2, 8.3, 8.4 y 8.5 reciben correcciones de seguridad, y 8.2 dejará de recibirlas el 31 de diciembre de 2026. Si tu web usa 8.1 o anterior, pregunta a tu hosting si ha aplicado una corrección adaptada, actualiza tu gestor de contenidos y plugins, y pasa a una versión con soporte.
¿Qué versiones de PHP siguen recibiendo correcciones de seguridad?
La página de versiones con soporte del proyecto PHP enumera cuatro ramas. Cada una tiene dos años de soporte completo desde su primera versión estable y, después, dos años más con correcciones solo para problemas de seguridad críticos. Pasado ese tiempo, la rama llega al final de su vida útil y deja de tener soporte.
| Rama | Soporte completo hasta | Correcciones de seguridad hasta |
|---|---|---|
| 8.2 | 31 dic 2024 | 31 dic 2026 |
| 8.3 | 31 dic 2025 | 31 dic 2027 |
| 8.4 | 31 dic 2026 | 31 dic 2028 |
| 8.5 | 31 dic 2027 | 31 dic 2029 |
¿Cuándo terminó el soporte de PHP 8.1, 8.0 y 7.4?
La página de ramas sin soporte del proyecto PHP da estas fechas y últimas versiones:
- PHP 8.1: 31 de diciembre de 2025, última versión 8.1.34
- PHP 8.0: 26 de noviembre de 2023, última versión 8.0.30
- PHP 7.4: 28 de noviembre de 2022, última versión 7.4.33
La página de versiones con soporte dice que quien usa una versión sin soporte debería actualizar lo antes posible, porque puede estar expuesto a vulnerabilidades de seguridad sin corregir.
¿Qué dice el aviso del 21 de octubre sobre las versiones antiguas?
Dice que PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP, que algunas distribuciones y proveedores de soporte a largo plazo (LTS) ofrecen correcciones adaptadas, y que conviene preguntar al proveedor o pasar a una versión con soporte. Una corrección adaptada, o backport, es el arreglo de seguridad trasladado a una versión antigua.
El aviso añade que, dada la gravedad de los fallos, el equipo de seguridad de PHP publicó parches mínimos de código fuente para PHP 7.4, 8.0 y 8.1, pensados para quien compila PHP o no tiene acceso a un proveedor LTS. No hay ninguna versión nueva de 7.4, 8.0 ni 8.1.
Las versiones corregidas de las ramas con soporte están en cómo comprobar la versión de PHP de tu web, con los pasos para encontrar la tuya.
La alerta de la agencia estadounidense CISA es más tajante: pide desconectar los sistemas con PHP que no puedan actualizarse de inmediato o que sigan usando PHP 8.1 o anterior, hasta que puedan actualizarse. En España, el aviso de INCIBE-CERT dice que, si no se puede actualizar un sistema expuesto a internet, "debe aislarlo de las redes públicas hasta aplicar una versión corregida".
¿Es seguro PHP 8.2, y cuándo termina?
PHP 8.2.35 es la versión corregida de la rama 8.2. Su nota de publicación en php.net añade un aviso: PHP 8.2 llega al final de su vida útil el 31 de diciembre de 2026, no recibirá más correcciones de seguridad después de esa fecha, y conviene planificar el paso a una versión con soporte.
Así que una web en 8.2.35 tiene la corrección de los dos fallos del 21 de octubre, pero le quedan unas diez semanas de correcciones del proyecto. Si vas a dejar 8.1 ahora, pasar directamente a 8.3 o superior te ahorra hacerlo dos veces. WordPress recomienda PHP 8.3 o superior.
¿Qué opciones tengo si mi web usa una versión antigua?
En un blog, la web de un club o una tienda pequeña, el trabajo suele repartirse entre tú y tu empresa de alojamiento.
- Haz dos preguntas a tu hosting. ¿Qué versión de PHP usa mi web? Y, si es 8.1 o anterior, ¿se ha aplicado una corrección adaptada para CVE-2026-109618 y CVE-2026-109619? El aviso de PHP remite a quien usa versiones antiguas a su proveedor, y en una web alojada esa pregunta es para tu hosting.
- Prepara la web para el cambio. Antes de cambiar PHP, WordPress pide hacer una copia de seguridad y actualizar WordPress, temas y plugins desde Escritorio > Actualizaciones. También dice que WordPress funciona con PHP desde la 7.4, "pero no sabemos si tus temas o plugins funcionarán en las versiones más recientes". Nuestra guía sobre cómo actualizar PHP en WordPress sigue estos pasos en orden. Si usas otro gestor de contenidos, su documentación te dirá qué versiones de PHP admite.
- Pasa a una versión con soporte. Con la web al día, pide a tu hosting que la cambie, o cámbiala tú si tu panel lo permite. El NCSC, el centro de ciberseguridad del Reino Unido, anima a quien usa versiones antiguas de PHP a actualizar a una versión con soporte completo.
Si nada de esto puede hacerse rápido, el consejo de CISA y de INCIBE-CERT es desconectar o aislar la web hasta poder actualizarla.
¿Qué dice el NCSC sobre el software sin soporte?
Su guía sobre productos obsoletos parte de que todo el software acaba quedándose desactualizado. Explica que, cuando el fabricante deja de publicar actualizaciones de seguridad, aumenta la probabilidad de que los atacantes conozcan vulnerabilidades aprovechables, y que con el tiempo incluso atacantes con poca habilidad pueden aprovecharlas.
Su conclusión es clara: la única forma totalmente eficaz de reducir ese riesgo es dejar de usar el producto obsoleto. Reconoce que no siempre se puede hacer de inmediato, recomienda actualizar en lugar de seguir con el riesgo y, si se sigue un tiempo, revisar esa decisión con regularidad. Para una web en PHP 8.1 o anterior, eso lleva a la misma respuesta que da el proyecto PHP: una versión con soporte.
Más preguntas
¿Afecta PHP2Shell a PHP 7.4?
El NCSC dice que las organizaciones que usan cualquier versión de PHP están afectadas, y el equipo de seguridad de PHP publicó un parche mínimo de código fuente para 7.4 por la gravedad de los fallos. No hay versión oficial nueva de 7.4. Pregunta a tu hosting si ha aplicado una corrección adaptada y planifica el paso a una versión con soporte.
Mi hosting dice que ha adaptado la corrección a PHP 8.1. ¿Es suficiente?
El aviso de PHP dice que algunas distribuciones y proveedores LTS ofrecen correcciones adaptadas y que hay que consultarlo con ellos, así que es tu hosting quien debe confirmarlo. Aun así, la rama sigue sin soporte, y la guía del NCSC sobre productos obsoletos recomienda actualizar en lugar de seguir con el riesgo.
¿Cambiar a una versión de PHP más nueva puede romper mi web?
Puede, y por eso importa el orden. WordPress dice que actualizar PHP "no debería ser un problema, pero no podemos garantizar que no lo sea", y pide copia de seguridad y temas y plugins al día antes. Recuerda también que, para volver a esa copia, tu hosting tendría que devolver PHP a la versión que usas ahora.
¿Qué pasa con PHP 8.2 después del 31 de diciembre de 2026?
El proyecto PHP dice que 8.2 no recibirá más correcciones de seguridad después de esa fecha y pide planificar el paso a una versión con soporte. A partir de entonces, una web en 8.2 queda sin soporte, como 8.1 y anteriores.
Fuentes
- Supported versions, PHP
- Unsupported branches, PHP
- Security advisory: Critical remote code execution vulnerabilities, update now, and the PHP 8.2.35 release notice, PHP (21 Oct 2026)
- Múltiples vulnerabilidades en PHP, INCIBE-CERT (21/10/2026)
- Critical security issue affecting PHP, NCSC
- Obsolete products, NCSC device security guidance
- Critical vulnerabilities in PHP require immediate patching, CISA
- Obtén una web más rápida y segura: actualiza PHP hoy mismo, WordPress.org en español