Cómo actualizar PHP en WordPress tras PHP2Shell

WindowsMacActualizado

PHP no se actualiza desde dentro de WordPress. PHP funciona en el servidor de tu hosting, así que se cambia en el panel de tu alojamiento o pidiéndoselo a tu proveedor. Tras el aviso de seguridad de PHP del 21 de octubre de 2026, conviene estar en la versión corregida de tu rama, y el proyecto PHP dice que solo una actualización es una solución completa.

Respuesta rápida

Haz una copia de seguridad de la web y actualiza WordPress, temas y plugins desde Escritorio > Actualizaciones. Cambia la versión de PHP en el panel de tu hosting; en cPanel, en MultiPHP Manager. Después comprueba que la web funciona y confirma la nueva versión en Herramientas > Salud del sitio > Información > Servidor. Si no puedes cambiarla tú, pídeselo a tu hosting.

¿Por qué hay que actualizar PHP ahora?

El 21 de octubre de 2026 el proyecto PHP publicó la corrección de dos fallos críticos, CVE-2026-109618 y CVE-2026-109619. El aviso de PHP dice que pueden permitir la ejecución remota de código sin autenticación y que afectan a todas las instalaciones de PHP que atienden peticiones web. WordPress funciona con PHP, así que una web WordPress puede estar afectada sea cual sea su versión de WordPress. INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, publicó su propio aviso con importancia crítica.

Nuestra explicación de la vulnerabilidad de PHP cuenta en qué consisten los fallos. La lista de versiones corregidas, y cómo saber cuál tienes, está en cómo comprobar la versión de PHP de tu web.

¿Cómo hago una copia de seguridad de WordPress antes de cambiar PHP?

Copia las dos partes de la web. La guía de copias de seguridad de WordPress explica que la base de datos guarda tus entradas y comentarios, y que los archivos guardan todo lo demás: el propio WordPress, temas, plugins, archivos subidos y wp-config.php. Copiar los archivos no copia la base de datos, así que necesitas las dos cosas.

  1. Mira si tu hosting ofrece una herramienta de copias de seguridad.
  2. Si no, usa un plugin de copias de seguridad, o exporta la base de datos con phpMyAdmin y copia los archivos por FTP.
  3. Guarda copias en más de un sitio. WordPress sugiere conservar al menos de 3 a 5 copias recientes en lugares distintos, como tu servidor, un almacenamiento en la nube y tu propio ordenador.

La guía de WordPress para actualizar PHP da el motivo claramente: una copia te permite volver atrás si algo falla.

¿Cómo actualizo antes WordPress, temas y plugins?

La guía de WordPress para actualizar PHP pide actualizar todo antes de cambiar PHP, y comprobar después que la web sigue funcionando.

  1. En el escritorio de WordPress, ve a Escritorio > Actualizaciones.
  2. Si aparece una versión nueva de WordPress, haz clic en Actualizar ahora. WordPress dice que no deberías tener que hacer nada más.
  3. Actualiza los plugins y temas que tengan actualizaciones pendientes.
  4. Visita tu web y recorre las páginas que más importan, como la tienda o el formulario de contacto.

Para saber si tus temas y plugins están preparados para un PHP más nuevo, WordPress sugiere el plugin PHP Compatibility Checker. También avisa de que puede dar falsos positivos. Si algo sale marcado, el consejo de WordPress es contactar con quien desarrolla ese tema o plugin, o cambiar a una alternativa parecida de WordPress.org.

¿Cómo cambio la versión de PHP en cPanel?

La documentación de cPanel describe MultiPHP Manager, que permite fijar la versión de PHP de cada dominio de tu cuenta. cPanel la coloca en la sección Software. La documentación está en inglés; si tu panel está en español, los nombres pueden aparecer traducidos.

  1. Entra en cPanel y abre MultiPHP Manager.
  2. Marca la casilla junto al dominio que quieres cambiar.
  3. Elige una versión en el menú PHP Version.
  4. Haz clic en Apply (Aplicar).

cPanel explica que el menú solo muestra las versiones instaladas en el servidor y disponibles para tu cuenta, y que las instala el administrador del servidor. Así que la versión exacta que obtienes dentro de una rama, como 8.3.36, depende de lo que haya instalado tu hosting. Por eso importa comprobarla después.

Algunos proveedores usan otro panel u otra herramienta de PHP con otro nombre. La guía de WordPress para actualizar PHP enlaza una lista de alojamientos con instrucciones, y ofrece una plantilla de texto para escribir a tu proveedor si no está en la lista.

¿Cómo compruebo la web después de actualizar PHP?

Primero confirma la versión y luego revisa la web.

  1. En WordPress, ve a Herramientas > Salud del sitio, abre la pestaña Información y despliega Servidor.
  2. Busca Versión de PHP y comprueba que es la versión corregida de tu rama o una posterior.
  3. Visita las páginas principales de tu web, y entra y sal del escritorio.
  4. Vuelve a Herramientas > Salud del sitio y mira en la pestaña Estado si han aparecido problemas críticos nuevos.

Si algo se rompe, la guía de WordPress para actualizar PHP dice que puedes volver tú mismo a la versión de PHP anterior, o contactar con tu hosting o con un desarrollador web. Si necesitas restaurar una copia de seguridad, indica que primero pidas a tu hosting que restaure la versión de PHP anterior y después restaures la copia.

¿Cuándo es mejor pedírselo al hosting?

Pídeselo a tu proveedor si te pasa alguna de estas cosas:

  1. El dominio aparece como "Inherited" (heredado) en MultiPHP Manager. cPanel dice que entonces usa la versión predeterminada del sistema, que solo puede fijar el administrador del servidor.
  2. La versión que necesitas no está en el menú. cPanel dice que solo aparecen las versiones que el administrador ha instalado.
  3. No encuentras ningún ajuste de PHP, o tu plan de alojamiento es gestionado.
  4. Tu web usa PHP 8.1 o anterior. El proyecto PHP dice que esas versiones ya no reciben sus actualizaciones, y que algunos proveedores ofrecen correcciones adaptadas. Pregunta a tu hosting si ha aplicado alguna, o pasa a una versión con soporte.

Para quien no pueda actualizar, el NCSC, el centro de ciberseguridad del Reino Unido, aconseja aplicar las mitigaciones temporales de PHP y plantearse desconectar el sistema si eso no puede hacerse rápido. INCIBE-CERT recuerda que las medidas temporales reducen la exposición, "pero la actualización es la única solución completa". En un alojamiento compartido, lo que hay que pedir es la actualización.

Más preguntas

¿Puedo actualizar PHP desde el escritorio de WordPress?

No. La guía de WordPress para actualizar PHP explica que actualizar PHP conlleva usar los ajustes de tu alojamiento, o pedírselo a tu proveedor. El escritorio muestra tu versión en Herramientas > Salud del sitio > Información > Servidor, y Salud del sitio puede avisar de una versión desactualizada como problema de seguridad, pero el cambio se hace en el servidor.

¿Qué versión de PHP debería usar WordPress?

La guía de WordPress para actualizar PHP recomienda PHP 8.3 o superior. Para PHP2Shell, lo que cuenta es estar en la versión corregida de tu rama. La página de versiones con soporte de PHP muestra que 8.2 solo recibe correcciones de seguridad hasta el 31 de diciembre de 2026.

¿Actualizar PHP puede romper mi WordPress?

Puede, si un tema o un plugin no está preparado para la versión nueva. Por eso WordPress pide hacer una copia de seguridad y actualizar todo antes, y sugiere el plugin PHP Compatibility Checker. Si algo se rompe, puedes volver a la versión anterior o pedir ayuda a tu hosting mientras lo resuelves.

¿Basta con actualizar WordPress para corregir PHP2Shell?

No. Los fallos están en PHP, no en WordPress. Mantener al día WordPress, temas y plugins forma parte de los consejos de WordPress antes de cambiar PHP, pero el aviso de PHP dice que solo una actualización de PHP es una solución completa.

¿Y si alguien ya ha podido manipular mi web?

El NCSC aconseja revisar los sistemas que no pudieron actualizarse enseguida en busca de señales de intrusión y puertas traseras. Nuestra guía sobre qué hacer si te han hackeado la web recoge los primeros pasos para una web personal.

Fuentes