PHP2Shell: Qué deben hacer ya los negocios de San Antonio

Respuesta corta: el 21 de octubre de 2026, el proyecto PHP publicó correcciones de emergencia para dos fallas críticas, apodadas PHP2Shell (CVE-2026-109618 y CVE-2026-109619), que pueden permitir que un atacante tome el control de un sitio web sin iniciar sesión. Si el sitio de tu negocio usa WordPress, WooCommerce, Laravel u otra plataforma PHP, asegúrate de que tu servidor tenga PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o una versión más nueva. Si usa PHP 8.1 o anterior, no hay ninguna corrección oficial.

Aquí te explicamos qué pasó, cómo revisar tu sitio en unos minutos y qué hacer si ya fue atacado.

Qué pasó

• 20 de octubre de 2026: los detalles de las dos fallas se filtraron públicamente antes de que existiera una corrección.
• 21 de octubre: el proyecto PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregirlas.
• 26 de octubre: CISA, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU., agregó ambas fallas a su lista de vulnerabilidades que los atacantes están explotando activamente.

Según la alerta de CISA, las fallas afectan a todas las instalaciones de PHP que atienden solicitudes web, incluidas configuraciones comunes como Apache con mod_php, PHP-FPM y LiteSpeed. The PHP Foundation informó que se demostró la ejecución remota de código completa con la configuración predeterminada. En palabras simples: un atacante podría ejecutar su propio código en tu servidor y controlar tu sitio web.

Por qué esto importa para el sitio web de un pequeño negocio

• La mayoría de los sitios de pequeños negocios funcionan con PHP. WordPress, WooCommerce, Joomla, Drupal y Laravel lo usan.
• La corrección está en el servidor, no en WordPress. Actualizar WordPress y tus plugins sigue siendo importante, pero no corrige PHP. Tu proveedor de hosting, o quien administre tu servidor, tiene que instalar la versión corregida de PHP.
• Nadie está vigilando la mayoría de los sitios de pequeños negocios. Si nadie ha entrado desde el lanzamiento, normalmente te enteras de un hackeo cuando Google advierte a tus visitantes o tu hosting suspende la cuenta.

Cómo revisar tu sitio en 5 minutos

1. Inicia sesión en el panel de control de tu hosting, como cPanel, Plesk o el panel propio de tu proveedor.
2. Busca la opción de versión de PHP. Normalmente se llama "Select PHP Version" (Seleccionar versión de PHP), "PHP Manager" o "PHP Settings". En WordPress también puedes abrir Tools → Site Health → Info → Server (en español: Herramientas → Salud del sitio → Información → Servidor).
3. Revisa el número de versión completo, no solo "8.3". Necesitas 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o una versión más nueva de la misma línea.
4. Si tienes PHP 8.1 o anterior, planea una actualización ahora. El proyecto PHP ya no actualiza esas versiones. PHP 8.2 también llega al fin de su vida útil el 31 de diciembre de 2026, así que si vas a actualizar de todos modos, pasa a 8.3 o más nueva.
5. Si tu versión no tiene la corrección y no puedes cambiarla tú mismo, abre un ticket con tu hosting y pregunta cuándo van a instalar la versión corregida.

Haz un respaldo completo antes de cambiar la versión de PHP y prueba el sitio justo después. Si algo deja de funcionar, eso indica que hay plugins desactualizados o código que necesita arreglarse. No es motivo para quedarte en una versión insegura.

Señales de que tu sitio ya podría estar comprometido

• Los visitantes son redirigidos a sitios de spam, apuestas o farmacias.
• Ves usuarios administradores, archivos o páginas que tú no creaste.
• Google Search Console reporta un problema de seguridad, o Chrome muestra una advertencia antes de que cargue tu sitio.
• Tu hosting te envía un correo sobre malware o suspende la cuenta.

Qué hacer si hackearon tu sitio

1. Desconecta el sitio o pídele a tu hosting que muestre una página de mantenimiento.
2. No te limites a restaurar el respaldo de la semana pasada. Si el sitio fue atacado después de la filtración del 20 de octubre, un respaldo reciente ya podría contener los archivos del atacante. Primero corrige PHP y luego restaura desde un respaldo que sepas que está limpio.
3. Actualiza todo y cambia todas las contraseñas: PHP, WordPress, plugins y temas, además de los accesos al hosting, al administrador, a la base de datos y al FTP.
4. Elimina el malware y cierra la puerta de entrada. Eso es lo que hace nuestro servicio de Website Repair & Rescue.
5. Pídele a Google que vuelva a revisar el sitio. Cuando esté limpio, solicita una revisión de seguridad en Google Search Console para que se quite la advertencia.

Cómo adelantarte a la próxima

Las correcciones de seguridad solo te protegen si alguien las instala. Un plan de mantenimiento web cubre actualizaciones de la plataforma, plugins y temas con un respaldo previo, respaldos regulares, monitoreo de seguridad y de disponibilidad, y ayuda prioritaria cuando algo falla. Essential Care cuesta $69 USD al mes. ¿Tienes un presupuesto más pequeño? Escríbenos de todos modos: trabajamos con cualquier presupuesto y encontramos una opción que funcione para ti.

Sea quien sea que cuide tu sitio, hazle una pregunta después de cada versión de seguridad de PHP: ¿qué versión exacta de PHP tiene mi sitio ahora?

Fuentes

• Aviso de seguridad y versiones de PHP, php.net (21 de octubre de 2026)
• Vulnerabilidades críticas en PHP requieren corrección inmediata, CISA (21 de octubre de 2026; revisado el 26 de octubre de 2026)
• La versión de seguridad de PHP de hoy, The PHP Foundation (21 de octubre de 2026)
• Versiones de PHP con soporte, php.net

Relacionado: Cómo salvar un sitio web que no funciona | Planes de mantenimiento web

---