PHP2Shell: el fallo de PHP que ha puesto en jaque al 70% de las webs (y qué hacer con la tuya)

Esta semana internet ha vivido algo que no se veía desde Heartbleed. Webs de gobiernos europeos apagadas a propósito, foros enormes caídos, el Internet Archive cerrando unas horas por precaución… Todo por PHP2Shell, dos fallos críticos en PHP, el lenguaje que hace funcionar cerca del 70% de las webs del mundo, incluidas todas las que usan WordPress, WooCommerce, Joomla, Drupal o Laravel.

Y hay un detalle que lo ha convertido en viral: los fallos los encontró la inteligencia artificial. Yo trabajo con PHP todos los días, tanto en WordPress como en paneles y webs a medida, así que esta semana ha sido de revisar servidores uno a uno. Te cuento qué ha pasado, a quién afecta y, sobre todo, qué tienes que hacer con tu web, que es lo que importa.

Qué es PHP2Shell, explicado sin jerga

PHP2Shell es el nombre que se le ha dado a dos vulnerabilidades, la CVE-2026-109618 y la CVE-2026-109619, con una puntuación de gravedad de 9,2 sobre 10. En cristiano: un atacante, sin usuario ni contraseña, con una sola petición a tu web, puede llegar a ejecutar código en tu servidor. Es decir, tomar el control: robar la base de datos de clientes, meter una puerta trasera o usar tu web para atacar a otros.

Lo más delicado es que el fallo salta antes de que se ejecute tu web. Por eso:

• Actualizar WordPress o los plugins no lo arregla. El propio equipo de seguridad de WordPress ha confirmado que no habrá actualización porque el problema no es suyo.
• Los plugins de seguridad (Wordfence y compañía) no pueden pararlo, porque se ejecutan cuando PHP ya ha leído la petición.
• Afecta a prácticamente cualquier versión de PHP desde la 5.4, es decir, a más de diez años de webs.

La parte viral: lo encontró una IA

En agosto, investigadores de las empresas de seguridad Calif y Wiz, por separado, encontraron los fallos usando modelos de IA de última generación (GPT-5.6 de OpenAI y Gemini 4 de Google). Uno de los errores era conocido desde una auditoría de 2024, pero nadie había conseguido explotarlo: la cadena de ataque era tan compleja que se consideraba teórica. Según Wiz, la IA rebajó tanto esa barrera que convirtió un fallo antiguo en un ataque real.

Y aquí está la lectura que me parece más importante de todo esto: la IA no solo sirve para defender, también acelera a quien ataca. Amazon detectó un intento de explotación el 17 de octubre, cuatro días antes de que los fallos se hicieran públicos. Los parches salieron el 21 de octubre y ese mismo día ya había ataques circulando de forma masiva.

Lo que antes tardaba semanas en pasar de "fallo publicado" a "ataque en marcha" ahora tarda horas. El margen para actualizar se ha comido casi entero.

Por qué se han apagado webs de gobiernos

La reacción ha sido de las que no se olvidan. El Ministerio del Interior francés apagó todas sus webs, Países Bajos desconectó su portal oficial, Finlandia y parte de Canadá hicieron lo mismo con servicios públicos, y la propia NSA recomendó desconectar cualquier web que no se pudiera actualizar de inmediato. No es alarmismo: con un fallo así, una web sin parchear es una puerta abierta.

¿Afecta a mi web?

Si tu web está hecha en WordPress, WooCommerce, PrestaShop, Moodle, Laravel o PHP a medida, sí, potencialmente. Lo que decide si estás expuesto no es tu web, es la versión exacta de PHP que tiene instalada tu servidor. Las versiones corregidas son:

• PHP 8.5.12 o superior
• PHP 8.4.27 o superior
• PHP 8.3.36 o superior
• PHP 8.2.35 o superior

Ojo con dos trampas habituales:

• Elegir "PHP 8.3" en el panel del hosting no garantiza nada. Lo que importa es el último número. Una 8.3.35 sigue siendo vulnerable; una 8.3.36, no.
• Si sigues en PHP 8.1 o anterior, no hay versión oficial corregida. Esas ramas ya no tienen soporte. Algunos proveedores (cPanel, CloudLinux) han sacado parches propios, pero lo sensato es aprovechar para subir de versión. Y según los datos de WordPress, alrededor de un tercio de las webs WordPress siguen en PHP 8.1 o anterior.

Qué hacer hoy: el checklist

Si tienes un WordPress

1. Entra en Herramientas → Salud del sitio → Información → Servidor. Ahí verás la versión completa de PHP, con todos los números.
2. Compárala con la lista de arriba. Si es inferior, escribe hoy mismo a tu hosting y pregúntales si la versión de PHP que sirve tu web incluye el arreglo de las dos CVE. Pide la respuesta por escrito.
3. Si estás en PHP 8.1 o anterior, cambia a 8.3 o 8.4 desde el panel. Antes, haz copia de seguridad y prueba que la web sigue funcionando: algunos plugins antiguos se rompen al subir de versión.

Si tienes servidor propio (VPS, dedicado, Docker)

1. Actualiza los paquetes de PHP de tu distribución o la imagen de Docker, y reinicia PHP-FPM o Apache. Sin reinicio, sigue corriendo el código viejo.
2. Revisa también las imágenes base de tus contenedores: es fácil olvidar una que lleva meses sin tocarse.
3. Si no puedes actualizar ya, desconéctala hasta que puedas. Es lo que han hecho los gobiernos.

Para todos

• Si tu web pasa por Cloudflare (incluso en el plan gratuito), ya tienes reglas que bloquean los ataques conocidos. Ayuda, pero no sustituye a actualizar.
• Después de parchear, vigila si te han dejado algo dentro: usuarios administradores que no reconoces, archivos PHP nuevos con nombres raros, redirecciones extrañas o correos de spam saliendo de tu dominio. El centro de ciberseguridad británico ha avisado expresamente de que muchos atacantes están dejando puertas traseras para volver más tarde.
• Cambia las contraseñas de la base de datos y del panel si tienes la mínima sospecha.

La lección de fondo: el mantenimiento no es opcional

Hace un mes hablaba aquí de por qué WordPress pierde cuota de mercado y de que una web sin mantener es un riesgo. PHP2Shell es la demostración más clara que he visto en años. No hay plugin, ni tema premium, ni "web hecha con IA en media hora" que te proteja de esto: lo que te protege es que alguien esté pendiente de tu servidor y actúe el mismo día.

Y con la IA encontrando fallos más rápido que nunca, esto no va a ser un caso aislado. Va a ser lo normal. La pregunta ya no es si tu web tendrá que actualizarse de urgencia, sino quién lo hará cuando pase y cuánto tardará.

Si no tienes claro en qué versión está tu web o quién se encarga de ella, escríbeme y lo revisamos. Es una comprobación de cinco minutos que te puede ahorrar un disgusto muy serio.