Alerta PHP: dos vulnerabilidades críticas ponen en riesgo las webs sin actualizar
Alerta PHP · php2shell
Tabla de contenidos
El 21 de octubre de 2026 el equipo de PHP publicó la corrección de dos vulnerabilidades críticas, con una gravedad de 9,2 sobre 10. Permiten que alguien tome el control de una web desde fuera, sin usuario ni contraseña, y PHP recomienda actualizar todas las webs cuanto antes.
PHP es el lenguaje con el que funcionan WordPress, WooCommerce, PrestaShop y la mayoría de las webs. Aquí tienes qué ha pasado, a quién afecta, por qué las webs antiguas lo tienen más difícil y qué conviene hacer ahora.
Actualizado el 23 de octubre de 2026 con el aviso de INCIBE y el estado de los ataques.
La alerta en una cifra
9,2 sobre 10. Es la gravedad que PHP asigna a cada uno de los dos fallos, en la escala CVSS 4.0. Por encima de 9 se considera crítico.
No hace falta contraseña ni acceso al panel. Basta con que la web funcione con una versión de PHP sin corregir.
Fuente · PHP, aviso de seguridad del 21 de octubre de 2026
¿Qué ha pasado?
PHP ha corregido dos fallos de su propio núcleo, identificados como CVE-2026-109618 y CVE-2026-109619 y conocidos como php2shell. El primero aparece cuando PHP se queda sin memoria a mitad de una petición. El segundo deja restos de una petición que la siguiente puede reutilizar. En los dos casos, un atacante puede llegar a ejecutar su propio código en el servidor.
PHP anunció el 20 de octubre que publicaría las correcciones al día siguiente, y ese mismo día los detalles de los fallos empezaron a circular antes de la publicación coordinada. Amazon ya había detectado un primer intento de explotación el 17 de octubre, cuatro días antes de las correcciones. En España, INCIBE-CERT ha calificado el aviso con importancia crítica, y la agencia de ciberseguridad de Estados Unidos (CISA) pide parchear de inmediato.
Es un problema del propio lenguaje, a nivel mundial. No depende de la empresa que hizo tu web ni del proveedor de alojamiento. Afecta a cualquier servidor que no se haya actualizado.
Te decimos en qué versión de PHP está tu web y qué necesita para quedar protegida, con su presupuesto si hace falta algo más que una actualización.
¿Qué ha cambiado desde el aviso? (actualizado el 23 de octubre)
Ya hay ataques reales. La empresa de seguridad watchTowr ha detectado intentos de explotación de los dos fallos en sus sistemas trampa, y desde el 22 de octubre circulan exploits funcionales. Muchas de las pruebas públicas solo consiguen bloquear el servidor y todavía no se ha confirmado ninguna web comprometida, pero el margen para actualizar se ha terminado.
El fallo también puede dejar ver parte de la memoria del servidor. Según la empresa de seguridad Qualys, ahí puede haber contraseñas, sesiones abiertas y claves de conexión con otros servicios. Por eso, después de actualizar, conviene cambiar las contraseñas de administración y las claves de las conexiones con pagos, correo o CRM.
Los alojamientos van a ritmos distintos. Hostinger terminó de actualizar sus planes compartidos el 22 de octubre. En SiteGround, donde trabajamos con muchas de nuestras webs, el servidor ya funciona con PHP 8.2.35, compilado el 21 de octubre. Otros proveedores no han publicado todavía su estado, así que lo seguro es comprobar el número exacto de versión de tu web.
El 23 de octubre PHP avisó de un tercer fallo, CVE-2026-115560, que solo afecta a webs con una configuración concreta de las sesiones. Se evita con la misma medida temporal que el segundo fallo y llegará corregido en la próxima versión. Desde el 21 de octubre no ha salido ninguna versión nueva de PHP.
Estado de la alerta a 23 de octubre de 2026
| Qué | Estado | Fecha |
|---|---|---|
| Versiones corregidas | 8.5.12, 8.4.27, 8.3.36 y 8.2.35. No hay versiones posteriores | 21/10/2026 |
| Aviso de INCIBE-CERT | Importancia crítica (5 sobre 5) | 21/10/2026 |
| Ataques reales | Intentos detectados por Amazon y watchTowr. Aún no figuran en el catálogo de la CISA | 17–23/10/2026 |
| Riesgo adicional | Lectura de memoria del servidor (contraseñas y claves) | 21/10/2026 |
| Alojamientos | Hostinger, actualizado. SiteGround, 8.2.35. El resto, por confirmar | 22–23/10/2026 |
| Fallo relacionado | CVE-2026-115560, con mitigación y sin versión todavía | 23/10/2026 |
Fuente · PHP (php.net), INCIBE-CERT aviso INCIBE-2026-762, watchTowr, SOCRadar, Qualys y Hostinger, consultados el 23/10/2026. Versión de SiteGround comprobada en nuestro servidor el 23/10/2026.
¿A quién afecta?
A cualquier web que funcione con PHP y atienda visitas, sea cual sea la forma en que el servidor lo ejecuta. Según W3Techs, PHP está detrás del 69,3 % de las webs cuyo lenguaje de servidor se conoce.
La solución es pasar a una de las versiones corregidas. El problema llega con las versiones antiguas. PHP 8.1 y anteriores ya no reciben versiones oficiales, y del 7.3 hacia atrás no hay ninguna corrección.
Versiones de PHP tras el aviso del 21 de octubre de 2026
| Rama de PHP | Versión corregida | Soporte de seguridad hasta | Qué hacer |
|---|---|---|---|
| 8.5 | 8.5.12 | 31/12/2029 | Actualizar ya |
| 8.4 | 8.4.27 | 31/12/2028 | Actualizar ya |
| 8.3 | 8.3.36 | 31/12/2027 | Actualizar ya |
| 8.2 | 8.2.35 | 31/12/2026 | Actualizar ya y planificar el salto a 8.3 o superior antes de enero |
| 7.4, 8.0 y 8.1 | Sin versión oficial, solo parches de código | Sin soporte | Subir de versión. Si la web no lo admite, renovarla |
| 7.3 y anteriores | Sin corrección | Sin soporte | La web queda expuesta. Hay que rehacerla o migrarla |
Fuente · PHP, aviso de seguridad del 21/10/2026 y tabla de versiones con soporte (php.net, consultados el 22/10/2026). Tenable, preguntas frecuentes sobre php2shell.
¿Qué tienes que hacer ahora?
Si tu web tiene mantenimiento, lo normal es que tu agencia ya se esté ocupando. Si no lo tiene, o no sabes quién la actualiza, estos son los pasos.
- Averigua tu versión de PHP con el número completo. En WordPress está en Herramientas › Salud del sitio › Información › Servidor. Tiene que poner, por ejemplo, 8.3.36: si solo ves «8.3» en el panel del alojamiento, no basta para saber si está corregida.
- Haz una copia de seguridad. De los archivos y de la base de datos, antes de tocar nada.
- Actualiza PHP a una versión corregida. 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama.
- Comprueba que la web funciona. Formularios, carrito, pagos y área de clientes. Un plugin o un módulo antiguo puede fallar al cambiar de versión.
- Cambia contraseñas y claves. Las del administrador, el FTP y la base de datos, y las de las conexiones con pagos, correo o CRM, porque el fallo puede dejar ver la memoria del servidor.
- Actualiza también el resto. WordPress o PrestaShop, la plantilla, los plugins y los módulos.
- Vigila lo raro. Usuarios administradores que no conoces, archivos nuevos o redirecciones extrañas.
Si no puedes actualizar hoy, PHP e INCIBE proponen medidas temporales: desactivar la opción de progreso de subida de las sesiones (session.upload_progress.enabled) en la configuración del servidor y, si la web no se puede actualizar, desconectarla de Internet hasta hacerlo. Ninguna de las dos sustituye a la actualización.
¿Y si mi web es antigua?
Aquí está el problema de verdad. Una web hecha hace años puede depender de una versión de PHP que ya no tiene corrección. Subir PHP no es cambiar un número en el panel, porque si la plataforma o sus plugins no admiten la versión nueva, la web deja de funcionar.
El caso más claro es PrestaShop. Las versiones 1.6 y 1.7, todavía muy extendidas en tiendas online, no admiten ninguna de las versiones de PHP que ha corregido este aviso.
Plataformas y versiones de PHP que admiten
| Plataforma | PHP que admite | ¿Puede usar una versión corregida? |
|---|---|---|
| WordPress actual | Recomienda PHP 8.3 o superior | Sí, actualizando antes plugins y plantilla |
| PrestaShop 1.6.1 | Hasta PHP 7.1 | No. Hay que migrar la tienda |
| PrestaShop 1.7.0 a 1.7.6 | Hasta PHP 7.1 o 7.2 | No. Hay que migrar la tienda |
| PrestaShop 1.7.7 y 1.7.8 | Hasta PHP 7.3 o 7.4 | No. Hay que migrar la tienda |
| Webs a medida antiguas | Depende del código | Hay que revisarlas una a una |
Fuente · WordPress.org, requisitos. PrestaShop DevDocs, requisitos del sistema de la versión 1.7 (incluye la 1.6.1).
Si es tu caso, tienes dos caminos. Migrar la tienda a una versión actual de la plataforma o hacer una web nueva. Lo explicamos con más detalle en actualizar PrestaShop o migrar.
¿Cómo lo gestionamos en EGOS?
Con los clientes que tienen el mantenimiento web contratado ya estamos haciendo copias de seguridad y actualizando cada web. Después comprobamos que todo funciona y avisamos al cliente cuando la suya está lista. Si alguna parte necesita un trabajo mayor, lo contamos con un presupuesto antes de tocar nada.
A los clientes sin mantenimiento les proponemos una cita para revisar la web, ver en qué versión está y decidir qué hace falta. En muchos casos basta con una copia y una actualización. Si la web es muy antigua, lo más seguro será una web nueva.
¿Y si sospechas que ya te han atacado?
Actualizar cierra la puerta, pero no echa a quien ya ha entrado. Si ves algo raro, no borres nada por tu cuenta. Aísla la web, conserva los registros y revisa archivos, usuarios y base de datos. Tienes los pasos en qué hacer si tu tienda online ha sido hackeada.
Fuentes consultadas
- PHP, aviso de seguridad del 21/10/2026
- PHP, versiones con soporte
- CISA, Critical Vulnerabilities in PHP Require Immediate Patching
- Tenable, php2shell FAQ
- Help Net Security, PHP2Shell
- W3Techs, uso de PHP
- WordPress.org, requisitos
- PrestaShop DevDocs, requisitos 1.7
- INCIBE-CERT, aviso INCIBE-2026-762 «Múltiples vulnerabilidades en PHP»
- watchTowr, preguntas frecuentes sobre php2shell
- Qualys, PHP2Shell
- Hostinger, protección frente a php2shell
- PHP, aviso informativo sobre el progreso de subida de sesión (23/10/2026)
Te decimos en qué versión de PHP está, si se puede actualizar o hace falta algo más y qué cuesta. Trabajamos con empresas de toda España y con nuestro mantenimiento web no tienes que estar pendiente de avisos como este.
Somos expertos en Marketing, Diseño web Asturias, Tiendas Online, Diseño Gráfico Asturias, Posicionamiento Web Asturias, SEO Local, GMB y Gestión de Redes Sociales Asturias y Community Manager Asturias para tu negocio. 🖤 Estaremos encantados de estar a tu lado.
Preguntas frecuentes sobre la alerta de PHP
¿Qué es php2shell?
Es el nombre con el que se conocen dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, corregidas el 21 de octubre de 2026. Tienen una gravedad de 9,2 sobre 10 y permiten ejecutar código en el servidor sin autenticarse.
¿Se está explotando ya el fallo?
Sí. Amazon y la empresa de seguridad watchTowr han detectado intentos de ataque, y desde el 22 de octubre circulan exploits funcionales. A 23 de octubre la CISA todavía no lo ha incluido en su catálogo de vulnerabilidades explotadas, pero eso no cambia la recomendación: actualizar cuanto antes.
¿Mi web en WordPress está afectada?
Si funciona con una versión de PHP anterior a las corregidas, sí. WordPress funciona con PHP, así que la protección depende de que el servidor tenga PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o posterior.
¿Actualizar WordPress soluciona el problema?
No. El fallo está en PHP, que funciona en el servidor, por debajo de WordPress. Actualizar WordPress, la plantilla y los plugins es recomendable, pero no sustituye a la actualización de PHP.
¿Qué versiones de PHP corrigen el fallo?
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 7.4, 8.0 y 8.1 no tienen versión oficial, y de la 7.3 hacia atrás no hay corrección.
¿Cómo sé si mi alojamiento ya lo ha corregido?
Mira el número completo de la versión de PHP, no solo la rama. Tiene que ser 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o posterior. Algunos proveedores, como Hostinger, ya lo han aplicado en sus servidores compartidos. Si tienes un VPS o un servidor propio, la actualización te toca a ti o a quien lo mantenga.
¿Es culpa de mi agencia o de mi alojamiento?
No. Es un fallo del propio lenguaje PHP que afecta a webs de cualquier proveedor en todo el mundo. Lo que sí depende de quien mantiene la web es actualizarla a tiempo.
¿Mi tienda PrestaShop 1.6 o 1.7 se puede actualizar?
No a una versión corregida de PHP, porque esas versiones de PrestaShop solo admiten PHP 7. Hay que migrar la tienda a una versión actual o hacer una nueva.
¿Basta con actualizar PHP?
Es lo principal, pero conviene actualizar también la plataforma, la plantilla y los plugins, y comprobar que nadie ha entrado antes de la actualización.
¿Qué dice INCIBE?
INCIBE-CERT publicó el 21 de octubre el aviso INCIBE-2026-762, de importancia crítica. Pide actualizar PHP de inmediato a la versión corregida de cada rama y, si no es posible, aplicar medidas temporales o aislar el servidor de Internet hasta actualizarlo.
José Luis Bahamonde
https://joseluisbahamonde.com/sobre-mi/Soy José Luis Bahamonde, cofundador y CEO de Agencia EGOS. Ingeniero de formación, dirigí durante más de veinte años proyectos industriales en el sector naval antes de dedicarme al marketing. Desde 2022 llevo EGOS junto a un equipo que trabaja con clínicas, industria y negocios locales de Asturias y de toda España.