¿Tu web está en peligro? La alerta PHP2Shell que no debes ignorar

Que tu web funcione no significa que esté protegida. Y tener WordPress actualizado tampoco garantiza que el servidor lo esté.

Tu página abre, recibes consultas y la tienda sigue vendiendo. Todo parece normal. Sin embargo, una vulnerabilidad en el software del alojamiento puede existir sin provocar un solo error visible. La alerta PHP2Shell vuelve a recordarnos que la seguridad web no consiste únicamente en pulsar «Actualizar».

La buena noticia es que hay correcciones disponibles. Lo importante ahora es comprobar que se han aplicado donde corresponde, sin alarmismo y sin dar por hecho que alguien se ha ocupado.

¿Qué ha pasado con PHP2Shell?

El 21 de octubre, el proyecto PHP anunció parches para dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Bajo determinadas condiciones, podrían permitir ejecutar código en un servidor sin iniciar sesión. Los fallos están en PHP, la tecnología que ejecuta WordPress y otras aplicaciones, no exclusivamente en WordPress. Fuente: aviso oficial de PHP.

Estar potencialmente expuesto no significa haber sufrido una intrusión. Para determinarlo hacen falta comprobaciones y registros, no basta con leer un titular.

Actualizar WordPress no es actualizar el servidor

Piensa en tu negocio digital por capas: WordPress gestiona el contenido; los plugins y el tema añaden funciones y diseño; el alojamiento aporta la infraestructura que lo ejecuta.

WordPress publicó una alerta pidiendo comprobar PHP con el proveedor de hosting y aclaró que estos fallos no se solucionan con una actualización de WordPress. Puedes consultar la versión visible en Herramientas → Salud del sitio → Información → Servidor. Fuente: comunicado oficial de WordPress.

Cinco comprobaciones que conviene hacer hoy

1. Pide una confirmación concreta al hosting. Pregunta si están aplicados y activos los parches de ambos CVE en el servidor que atiende tu dominio. Una respuesta genérica sobre «servidores seguros» no aclara esa cuestión.
2. No interpretes la versión de PHP de forma aislada. Las correcciones oficiales llegaron en PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Algunos proveedores incorporan correcciones a sus propios paquetes manteniendo otro número visible: solicita también la revisión completa. Consulta el aviso de PHP y la información de tu proveedor.
3. Comprueba las copias de seguridad. Guarda una copia completa fuera del servidor y comprueba que existe, está completa y puede restaurarse. Tener un archivo descargado no equivale a haber probado su recuperación.
4. Mantén las demás capas al día. Revisa WordPress, plugins, temas y accesos. Son tareas necesarias, aunque no sustituyen el parche de PHP. Planifica los cambios y comprueba después las funciones importantes.
5. Solicita revisar posibles indicios de ataque. Pide al alojamiento que examine los registros disponibles. Una web que carga con normalidad no demuestra ausencia de intrusiones; un intento bloqueado tampoco demuestra que hayan entrado.

Si no puedes confirmar la protección, eleva la consulta al soporte y acuerda las medidas temporales necesarias. Evita modificar parámetros del servidor o desactivar protecciones siguiendo instrucciones que no entiendes.

Tu negocio necesita seguimiento, no solo actualizaciones

En BIGfoot | Proyectos Digitales planteamos el mantenimiento web como un trabajo de seguimiento: revisar avisos, comprobar copias, evaluar actualizaciones y coordinar con el alojamiento las actuaciones que dependen del servidor.

No se trata de prometer una web invulnerable. Se trata de saber qué se ha revisado, qué sigue pendiente y quién debe actuar. Ese control ayuda a que puedas centrarte en tu negocio sin tener que interpretar cada alerta técnica por tu cuenta.

¿No sabes si tu web está protegida frente a esta alerta? Solicita información sobre nuestro servicio profesional de revisión y mantenimiento web.* Llámanos al 603623083 o contacta con BIGfoot por WhatsApp.

* La revisión, el diagnóstico y las actuaciones sobre tu web son servicios de pago. Consulta nuestras tarifas y solicita presupuesto antes de contratar. Contactar con nosotros no incluye una revisión ni un servicio técnico gratuitos.

Nota: esta información corresponde a los avisos consultados el 23 de octubre de 2026. La evaluación de una web concreta requiere comprobar su alojamiento y configuración.