Qué ha pasado
PHP es el lenguaje con el que funcionan WordPress, PrestaShop, Joomla, Drupal, Magento y muchas webs hechas a medida.
Los fallos se conocen como PHP2Shell (CVE-2026-109618 y CVE-2026-109619) y tienen una gravedad de 9,2 sobre 10. Según CERT-EU, una sola petición, sin iniciar sesión, puede bastar para atacar el servidor antes incluso de que se ejecute el código de tu web.
Los detalles se filtraron antes de tiempo y ya hay ataques reales: la empresa de seguridad watchTowr los detecta desde el mismo 21 de octubre, y el 26 la agencia estadounidense CISA incluyó los dos fallos en su lista de vulnerabilidades explotadas. Estos ataques suelen ser automáticos: no buscan tu empresa, buscan servidores sin actualizar.
Cómo saber si te afecta
Son dos preguntas: si tu web usa PHP y qué versión tiene.
Si no sabes con qué está hecha tu web, pregúntaselo a quien te la hizo. Para ver la versión:
- En WordPress: Herramientas → Salud del sitio → Información → Servidor.
- En un hosting con panel: suele aparecer en el apartado de PHP de cPanel, Plesk o similar.
- Si no tienes acceso: pregúntale a tu proveedor de hosting o a quien mantiene la web.
| Tu versión de PHP | Necesitas | Soporte de seguridad |
|---|---|---|
| 8.5 | 8.5.12 o superior | Hasta el 31/12/2029 |
| 8.4 | 8.4.27 o superior | Hasta el 31/12/2028 |
| 8.3 | 8.3.36 o superior | Hasta el 31/12/2027 |
| 8.2 | 8.2.35 o superior | Hasta el 31/12/2026: planifica ya el cambio |
| 8.1 o anterior | Pasar a una versión con soporte | Sin soporte y también afectada |
Un matiz: si tu servidor usa los paquetes de una distribución Linux, el parche puede estar aplicado aunque el número sea más bajo. Si tienes dudas, pide a tu proveedor una respuesta por escrito sobre CVE-2026-109618 y CVE-2026-109619.
Actualizar WordPress no actualiza PHP. Puedes tener WordPress y todos los plugins al día y seguir expuesto, porque PHP se instala en el servidor. Si tu hosting es compartido, depende de tu proveedor.
Qué hacer
Cuanto antes mejor, pero con una copia de seguridad a mano.
- Haz una copia de seguridad de la web y de la base de datos, y comprueba que está fuera del servidor.
- Actualiza PHP o pide a tu proveedor que lo haga. Dentro de la misma versión (de 8.3.x a 8.3.36, por ejemplo) rara vez da problemas.
- Si vienes de 8.1 o anterior, prueba antes en una copia. El salto puede romper plugins o plantillas antiguas, y a veces obliga a actualizarlos.
- Reinicia el servicio de PHP, porque hasta entonces puede seguir funcionando la versión antigua. Después, comprueba que la versión nueva es la activa.
- Revisa si han entrado. Los ataques empezaron antes de que muchos servidores se actualizaran, y actualizar no expulsa a quien ya esté dentro. Si ves algo raro, sigue los pasos de qué hacer si hackean tu web.
¿Y si no puedes actualizar ya? Los ajustes de configuración y los límites en el servidor web reducen el riesgo, pero CERT-EU advierte de que no dejan la instalación segura. Si tu web no puede actualizarse pronto, valora con quien la mantiene sacarla temporalmente de internet.
Hay además un tercer fallo, CVE-2026-115560, que se corregirá en la próxima versión ordinaria. Mientras tanto, la recomendación es poner session.upload_progress.enabled=0 en la configuración de PHP y reiniciar el servicio. Tu proveedor o tu técnico sabrán hacerlo.
Si tu web no usa PHP
Esta vulnerabilidad no te afecta, aunque eso no significa que no tengas nada que actualizar.
Todas las tecnologías tienen fallos. El mismo 21 de octubre, sin ir más lejos, Node.js publicó su propia actualización de seguridad. Lo que protege una web no es elegir la tecnología «correcta», sino que alguien la mantenga al día.
Y aunque tu web no use PHP, puede haberlo en otros equipos: Palo Alto Networks, por ejemplo, ha confirmado que sus sistemas PAN-OS y Panorama están afectados. Si tu empresa usa cortafuegos o aparatos conectados a internet, pregunta a tu proveedor.
Cómo lo hacemos nosotros
En Just Quality no trabajamos con PHP, así que este fallo no afecta a las webs que desarrollamos.
Desarrollamos a medida con Angular, Node.js y .NET, tecnologías que también necesitan mantenimiento. Por eso:
- Las actualizaciones de seguridad del sistema se instalan solas en nuestros servidores, y además los revisamos periódicamente con reinicios programados.
- Seguimos mejorando la seguridad. En octubre de 2026 hicimos una revisión de seguridad de nuestros servidores y seguimos aplicando lo que salió de ella. Parte de lo que hacemos lo contamos en qué debe tener un hosting seguro.
- Los proyectos nuevos empiezan en versiones con soporte, y tenemos planificado poner al día, una a una, las aplicaciones que ya funcionan, porque un cambio de versión importante hay que probarlo antes.
Si tu web usa una versión antigua de PHP y actualizarla te da más problemas que soluciones, quizá sea el momento de valorar si merece la pena migrarla. Y si solo quieres saber si te afecta, cuéntanoslo y lo miramos contigo.
Cuéntanos tu caso
