Resumen en 30 segundos. El 21 de octubre de 2026 se publicó la corrección de dos fallas graves en PHP, el lenguaje en el que funcionan WordPress, WooCommerce, Joomla, PrestaShop y cerca de 7 de cada 10 páginas web del mundo. Las fallas, apodadas PHP2Shell, permiten que un desconocido tome control del servidor de tu página sin usuario ni contraseña. La solución no es actualizar WordPress ni los plugins: es que tu hosting actualice PHP a la versión 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Abajo te explicamos cómo revisarlo en 5 minutos y qué escribirle a tu proveedor.
Si tienes una página web, una tienda en línea o un sistema interno que se abre en el navegador, hay una buena probabilidad de que funcione con PHP aunque nunca hayas escuchado esa palabra. Esta guía es para dueños de negocio, gerentes y emprendedores que no son técnicos y necesitan saber una sola cosa: si deben preocuparse y qué hacer hoy.
Qué pasó, explicado sin tecnicismos
Piensa en tu página web como un carro. WordPress, el diseño y los plugins son la carrocería, los asientos y el radio. PHP es el motor. Lo que se descubrió esta semana es un defecto de fábrica en el motor, no en la carrocería. Por eso cambiar los asientos, es decir, actualizar WordPress o los plugins, no lo arregla.
El defecto permite que alguien, desde cualquier lugar del mundo, le envíe a tu servidor una petición especialmente armada y logre ejecutar sus propias instrucciones dentro de él. En lenguaje de seguridad se llama ejecución remota de código sin autenticación: el atacante no necesita ser usuario de tu web ni conocer ninguna contraseña. Los expertos lo calificaron con 9,2 sobre 10 en gravedad.
La corrección iba a publicarse el 22 de octubre, pero los detalles se filtraron en internet el 20. El equipo de PHP adelantó la entrega al 21 de octubre a las 9:00 a.m. hora Colombia. Desde ese mismo día Cloudflare, una de las redes que protege millones de sitios, reportó los primeros intentos de ataque.
¿Mi página web está afectada?
Probablemente sí, si tu sitio está hecho con alguna de estas herramientas y vive en un hosting o servidor propio:
- WordPress, incluidas las tiendas con WooCommerce. Los investigadores demostraron el ataque contra la versión más reciente de WordPress.
- Joomla, Drupal, PrestaShop, Magento y Moodle.
- Sistemas a la medida hechos en PHP o Laravel: intranets, portales de clientes, plataformas de pedidos.
- Paneles y equipos que traen PHP por dentro, como cPanel o Plesk. Incluso algunos equipos de red empresariales reportaron estar afectados.
Probablemente no te afecta si tu página está en una plataforma cerrada como Shopify, Wix o Squarespace. Ahí no tienes un servidor propio: el proveedor administra toda la infraestructura y es responsable de mantenerla segura.
Qué le puede pasar a tu negocio si no se actualiza
Un atacante con control del servidor puede hacer prácticamente lo que quiera con tu página. Los riesgos concretos para un negocio son:
- Robo de datos de clientes: nombres, correos, teléfonos, direcciones y pedidos guardados en la base de datos.
- Robo de claves: una de las fallas permite leer la memoria del servidor, donde viven contraseñas de la base de datos y llaves de pasarelas de pago o de servicios conectados.
- Página secuestrada: redirecciones a sitios de apuestas o estafas, contenido falso y correos de spam enviados en tu nombre.
- Google te castiga: si detecta código malicioso, marca tu sitio como peligroso y desaparece de los resultados.
- Responsabilidad legal: en Colombia, la Ley 1581 de 2012 te hace responsable de proteger los datos personales que recoges. Una filtración es un problema legal, no solo técnico.
Cómo saber qué versión de PHP tiene tu web, en 5 minutos
Opción 1: si tu web es WordPress
- Entra al panel de administración de tu web (tuweb.com/wp-admin).
- Ve a Herramientas → Salud del sitio.
- Abre la pestaña Información y despliega la sección Servidor.
- Busca la línea Versión de PHP. Anota el número completo, por ejemplo 8.3.36.
Opción 2: en el panel de tu hosting
En cPanel busca Seleccionar versión de PHP o MultiPHP Manager. En Plesk, entra a tu dominio y busca Configuración de PHP. Ahí verás la versión activa.
Opción 3: pregúntale a tu proveedor. Copia y pega este mensaje
Hola, quiero confirmar que mi sitio [tudominio.com] ya está protegido contra las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619 (PHP2Shell), corregidas el 21 de octubre de 2026. ¿Qué versión de PHP está usando mi sitio? ¿Ya instalaron la versión corregida (8.5.12, 8.4.27, 8.3.36 o 8.2.35) o un parche equivalente, y reiniciaron PHP? Si aún no, ¿en qué fecha lo harán? Gracias.
Esta es la opción más confiable si tienes un hosting compartido. Algunos proveedores aplican el parche sin cambiar el número visible de la versión, y solo ellos pueden confirmarlo.
Cómo leer el resultado
| Si tu versión es… | Qué significa | Qué hacer |
|---|---|---|
| 8.5.12 o mayor, 8.4.27 o mayor, 8.3.36 o mayor, 8.2.35 o mayor | Protegido contra PHP2Shell. | Revisar que no haya señales de ataque, más abajo. |
| 8.2, 8.3, 8.4 u 8.5 con un número menor | Vulnerable, pero tiene arreglo inmediato. | Pedir al hosting la actualización hoy. |
| 8.1, 8.0 o 7.4 | Versión sin soporte oficial. PHP no publicó versión corregida. | Confirmar si el hosting aplicó un parche propio y planear el cambio a PHP 8.4. |
| 7.3 o anterior, o 5.x | Muy antigua, sin ninguna corrección. | Urgente: actualizar o sacar la web de internet mientras tanto. |
Qué hacer hoy, paso a paso
- Revisa la versión con cualquiera de las tres opciones de arriba.
- Escríbele a tu hosting con el mensaje de arriba, aunque la versión parezca correcta, y guarda la respuesta por escrito.
- Haz una copia de seguridad completa de archivos y base de datos antes de cualquier cambio.
- Después de la actualización, prueba lo importante: formularios de contacto, carrito, pagos, inicio de sesión y subida de archivos.
- Busca señales de ataque con la lista de la siguiente sección.
Señales de que tu web pudo ser atacada
- Usuarios administradores que nadie de tu equipo creó.
- Visitantes que terminan en otras páginas al entrar a la tuya.
- Avisos de Google Search Console o del navegador sobre sitio peligroso.
- Tu hosting te avisa de archivos sospechosos o de envío masivo de correos.
- La web se volvió muy lenta o da errores sin que nadie haya tocado nada.
Si ves alguna, no borres nada por tu cuenta. Pide ayuda, porque los registros del servidor son la evidencia para saber qué pasó.
Lo que NO soluciona el problema
- Actualizar WordPress, el tema o los plugins. Es buena práctica, pero la falla está en PHP.
- Instalar un plugin de seguridad. El ataque ocurre antes de que WordPress llegue a ejecutarse.
- Copiar “parches” o fragmentos de código de internet. No están verificados y pueden dañar tu sitio o traer malware.
- Cloudflare por sí solo. Activó reglas de protección incluso en su plan gratuito y es una buena ayuda temporal, pero no reemplaza la actualización.
Si tu web usa una versión vieja de PHP: el problema de fondo
Muchas páginas en Latinoamérica siguen en PHP 7.4 u 8.1 porque “funcionan” y nadie quiere tocarlas. El problema es que subir de versión puede romper plugins o temas viejos. Por ejemplo, las tiendas en PrestaShop 8 solo funcionan hasta PHP 8.1, que no tiene versión corregida. Además, PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026.
Lo recomendable es pasar a PHP 8.4 con un plan: copia del sitio en un entorno de prueba, actualización de plugins y tema, revisión de compatibilidad y paso a producción con todo probado. Hacerlo con calma ahora es más barato que hacerlo de urgencia después de un hackeo.
Un dato que dice mucho: esta falla la encontró una IA
Los investigadores de Wiz contaron que usaron modelos de inteligencia artificial como Gemini y GPT para encontrar estas fallas y armar los ataques de prueba. Un solo investigador hizo en una semana lo que antes le tomaba meses a un equipo experto. Fallas que llevaban más de diez años escondidas en PHP aparecieron en días.
La conclusión para cualquier negocio es simple: los atacantes también tienen IA. Tener la web “quieta” durante años sin mantenimiento ya no es una opción segura. Si quieres entender cómo la IA está cambiando el trabajo en las empresas, revisa qué significa ser una empresa IA-first.
Cómo te podemos ayudar
En Aldama desarrollamos y mantenemos software para empresas en Colombia y Latinoamérica. Para esta falla ofrecemos:
- Revisión de emergencia: confirmamos tu versión de PHP y si el parche está aplicado, y gestionamos la actualización con tu hosting.
- Revisión de señales de ataque en tu servidor y en tu WordPress, y cambio de claves si hace falta.
- Migración a PHP 8.4 sin romper tu sitio: entorno de prueba, compatibilidad de plugins y paso a producción.
- Si tu web ya no da más: la reconstruimos con tecnología moderna y mantenimiento incluido. Mira nuestro servicio de desarrollo de software a la medida.
Escríbenos por WhatsApp con la dirección de tu página y te decimos si está afectada.
¿Eres quien administra el servidor? Lee la guía técnica de PHP2Shell con comandos de verificación, mitigación temporal y detección.
Fuentes
- Aviso oficial de seguridad de PHP, 21 de octubre de 2026
- Wiz Research: PHP2Shell, descubrimiento con IA
- Tenable: preguntas frecuentes de PHP2Shell
- Patchstack: alerta para sitios WordPress
Artículo actualizado el 21 de octubre de 2026. Lo iremos actualizando a medida que haya información nueva sobre ataques y parches.