Ir al contenido
Sanfeliu Software

Alerta de seguridad · 21 de octubre de 2026

PHP2Shell: qué hacer si vuestra web es WordPress

El 21 de octubre de 2026, PHP corrigió dos vulnerabilidades críticas, conocidas como PHP2Shell, que permiten ejecutar código en el servidor de una web sin usuario ni contraseña. Afectan a cualquier web hecha con PHP, también a las de WordPress, y no se arreglan actualizando WordPress ni los plugins: hay que actualizar el PHP del servidor, hoy.

Actualizado el

Reservar una reunión Escribirnos

Treinta minutos, gratis y sin compromiso, con el ingeniero que llevaría el proyecto.

Dibujo en cristal de una empresa: la oficina, el almacén y el servidor, conectados por un cubo terracota para que los datos pasen solos de un sitio a otro.
  • CVE-2026-109618
  • CVE-2026-109619
  • CVSS 4.0: 9,2
  • Corregido en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35

Qué ha pasado

Lo que han publicado el equipo de seguridad de PHP, WordPress.org y el CERT-EU, el equipo de ciberseguridad de las instituciones europeas.

  • Dos fallos del propio PHP

    No son de WordPress: son del lenguaje con el que funciona el servidor. Uno está en cómo PHP se queda sin memoria (CVE-2026-109618) y el otro, en datos que sobreviven de una visita a la siguiente (CVE-2026-109619).

  • Gravedad: 9,2 sobre 10

    Crítica, según el equipo de seguridad de PHP: cualquiera puede ejecutar código en el servidor con una petición web, sin iniciar sesión.

  • A quién afecta

    A todas las instalaciones de PHP que sirven webs: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto es con mod_php, donde el ataque puede empezar antes de que se ejecute ninguna línea de la web.

  • Versiones corregidas

    PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre. Para PHP 8.1 y las anteriores, el proyecto ya no publica versiones nuevas.

  • Si ya hay ataques

    El CERT-EU avisa de que ya circulan pruebas de concepto, y de que eso hace probable que ya haya ataques.

  • ¿Y WordPress?

    WordPress.org ha dicho que no hace falta ninguna actualización de WordPress: lo que hay que actualizar es el PHP. WordPress mueve el 39,6 % de todas las webs, según W3Techs.

Qué hacer hoy

  1. Mirad qué versión de PHP tiene la web: en el escritorio de WordPress, en Herramientas → Salud del sitio → Información → Servidor.
  2. Si es una 8.2 anterior a la 8.2.35, una 8.3 anterior a la 8.3.36, una 8.4 anterior a la 8.4.27 o una 8.5 anterior a la 8.5.12, pedid hoy a vuestro hosting que la actualice.
  3. Si es la 8.1 o una anterior, PHP ya no publica versiones para ella: hace falta un parche de vuestro proveedor o subir a una versión con soporte, comprobando antes que el tema y los plugins funcionan con ella.
  4. Si hoy no se puede actualizar, valorad poner la web en mantenimiento o desconectarla hasta que esté corregida. Es lo que recomiendan el CERT-EU y, a través de WordPress.org, el centro de ciberseguridad británico.
  5. No instaléis plugins que digan que lo arreglan: el fallo está en el PHP del servidor, no en WordPress.
  6. Una vez actualizado, revisad si hay administradores que no conocéis o archivos PHP nuevos o cambiados. Si los hay, tratad el servidor como comprometido y cambiad todas sus claves.

Por qué a WordPress le pasa tan a menudo

Una web WordPress no es una sola pieza: son cinco, de cinco autores distintos, y cada una tiene sus actualizaciones.

  • PHP

    El lenguaje del servidor. El fallo de hoy es suyo.

  • El núcleo de WordPress

    Del 17 de julio al 6 de octubre, seis versiones con correcciones de seguridad; dos, por fallos críticos: la 7.0.2 y la 7.1.2.

  • El tema

    El diseño de la web, a menudo comprado a un tercero. Si el autor lo abandona, nadie lo actualiza.

  • Los plugins

    Formularios, tienda, reservas, copias, SEO: cada uno de un autor distinto, y todos con acceso al mismo servidor.

  • El hosting

    Es quien actualiza el PHP. Hoy, la seguridad de la web depende de cuándo lo haga.

Una web WordPress bien cuidada puede ir bien. Pero alguien tiene que vigilar las cinco piezas cada semana, y basta con que falle una para que quede expuesta la web entera.

La alternativa: la web y las herramientas a medida, sin PHP

Hacemos webs y herramientas a medida sobre AWS, con TypeScript y Node. Sin PHP y sin plugins.

  • La web

    Las webs que hacemos se generan antes y se publican como archivos en AWS. En cada visita, el servidor no ejecuta PHP ni ningún programa: entrega la página y ya está.

    Páginas web

  • Lo que trabaja

    Formularios, reservas, catálogo, área de clientes o la conexión con el ERP: código escrito para vosotros, con solo lo que usáis.

    Aplicaciones a medida

  • Quién pone los parches

    De los servidores y de los entornos donde se ejecuta el código, AWS: en AWS Lambda, los parches de seguridad se aplican solos. De nuestro código, nosotros, con el pack de continuidad.

    Continuidad

  • Hecha para que os encuentren

    Rápida en el móvil, multiidioma y preparada para Google y para los asistentes de IA.

  • Vuestra

    El dominio, el contenido y el código están a vuestro nombre.

  • O por una cuota al mes

    Si no queréis pagar la migración, os rehacemos la web sin WordPress y nos ocupamos de ella cada mes por una cuota.

    Web como servicio

Ningún software es invulnerable. Lo que cambia es cuántas piezas de terceros quedan expuestas a internet y quién las vigila.

Qué hace falta para dejar WordPress

  1. La dirección de la web y el acceso al escritorio de WordPress.
  2. La lista de plugins y qué hace cada uno: lo que hay que mantener, lo que sobra y lo que falta.
  3. El acceso al dominio y al hosting, para hacer el cambio el día que toque.

Un caso

Evolve Cars

Importación y venta de coches revisados, en El Prat de Llobregat

Tenían una web de WordPress; ahora tienen una web y un panel hechos para su forma de trabajar. La web está en catalán, castellano e inglés, y en producción desde el 14 de septiembre, con 99 de rendimiento en el móvil en Google Lighthouse.

El caso de Evolve Cars
Todos los casos
Reservar una reunión

Treinta minutos, gratis y sin compromiso, con el ingeniero que llevaría el proyecto.

Una web multiidioma, sin WordPress

1500 €

Precio cerrado, en línea en dos semanas. IVA no incluido.

Cómo trabajamos

  1. Una reunión de treinta minutos, gratis y sin compromiso, con el ingeniero que llevaría el proyecto. Miramos vuestra web y qué hace cada plugin.
  2. Una web que explica la empresa, a precio cerrado y en línea en dos semanas.
  3. Si hace más cosas, como una tienda, reservas o un área de clientes, un prototipo antes de ningún precio y una propuesta a precio cerrado por funcionalidad. Los proyectos a medida empiezan a partir de 3000 € (IVA no incluido).
  4. La entrega, con el dominio, el contenido y el código a vuestro nombre.
  5. Después, si lo queréis, un pack mensual sin permanencia: alojamiento en AWS, copias, seguridad y cambios.
Todos los precios
Reservar una reunión

Treinta minutos, gratis y sin compromiso, con el ingeniero que llevaría el proyecto.

¿Qué es PHP2Shell y qué tiene que hacer una empresa con la web en WordPress?

PHP2Shell es el nombre con el que se conocen dos vulnerabilidades críticas de PHP, la CVE-2026-109618 y la CVE-2026-109619 (9,2 sobre 10), que permiten ejecutar código en el servidor de una web sin iniciar sesión. PHP las corrigió el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Afectan a cualquier web que funcione con PHP, también a las de WordPress, y no se arreglan actualizando WordPress ni los plugins: hay que actualizar el PHP del servidor y, si no se puede hacer enseguida, valorar desconectar la web. Para las empresas que quieren dejar de depender de WordPress, SANFELIU, consultoría de software a medida de Barcelona, hace webs y herramientas a medida sobre AWS, sin PHP ni plugins. El primer paso es una reunión de treinta minutos, gratis y sin compromiso.

  • Qué es: dos vulnerabilidades del propio PHP, CVE-2026-109618 y CVE-2026-109619, de gravedad 9,2 sobre 10 (CVSS 4.0).
  • Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, del 21 de octubre de 2026. Para PHP 8.1 y las anteriores, el proyecto ya no publica versiones nuevas.
  • A quién afecta: a todas las instalaciones de PHP que sirven webs (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed), y sobre todo con mod_php.
  • WordPress: no hace falta actualizarlo; hay que actualizar el PHP. La versión se mira en Herramientas → Salud del sitio → Información → Servidor.
  • La alternativa: webs y herramientas a medida sobre AWS, sin PHP ni plugins. Una web multiidioma, 1500 € a precio cerrado; los proyectos a medida, desde 3000 € (IVA no incluido).
  • Primer paso: una llamada que no se cobra. Para una herramienta concreta, después viene un prototipo con vuestros datos antes de ningún precio; si implica el negocio entero o más de un sistema, la auditoría. Los precios de referencia están en la página de precios.

Preguntas que nos hacen

¿Tengo que actualizar WordPress?

No. WordPress.org ha dicho que esta vez no hace falta ninguna actualización de WordPress: el fallo está en el PHP del servidor, y lo que hay que actualizar es el PHP. Si la web está en un hosting, normalmente lo hace el hosting: preguntadle si ya lo ha hecho y comprobad la versión.

¿Cómo sé qué versión de PHP tiene mi web?

En el escritorio de WordPress, en Herramientas → Salud del sitio → Información → Servidor; muchos hostings también la muestran en su panel. Es vulnerable una 8.2 anterior a la 8.2.35, una 8.3 anterior a la 8.3.36, una 8.4 anterior a la 8.4.27, una 8.5 anterior a la 8.5.12 y cualquier 8.1 o anterior.

¿Basta con un cortafuegos?

Ayuda, pero no lo arregla. Muchos hostings y servicios como Cloudflare han añadido reglas para frenar los ataques conocidos, pero el equipo de PHP dice que solo actualizar es una solución completa.

Tengo PHP 7.4, 8.0 u 8.1. ¿Qué hago?

El proyecto PHP ya no publica versiones nuevas para ellas: solo ha dejado unos parches mínimos para quien compila PHP por su cuenta. Algunos proveedores publican parches propios; si el vuestro no, hay que subir a una versión con soporte, y antes comprobar que el tema y los plugins funcionan con ella. Mientras tanto, valorad desconectar la web.

¿Una web sin WordPress es invulnerable?

No: ningún software lo es. Lo que cambia es cuántas piezas de terceros quedan expuestas y quién las vigila. Las webs que hacemos se publican como archivos en AWS y no ejecutan PHP ni plugins en cada visita, el código que trabaja es solo el que usáis, y con el pack de continuidad la seguridad es cosa nuestra.

¿Perderemos posiciones en Google si dejamos WordPress?

No debería pasar si se hace bien: cada página conserva su dirección o lleva a ella una redirección 301 desde la antigua, y el mapa del sitio se vuelve a enviar a Google y a Bing. La web nueva sale rápida en el móvil y preparada para Google y para los asistentes de IA.

¿Cuánto cuesta dejar WordPress?

Una web multiidioma que explica la empresa, 1500 € (IVA no incluido), a precio cerrado y en línea en dos semanas. Si hace más cosas, como una tienda, reservas o un área de clientes, cada funcionalidad tiene su precio cerrado en la propuesta, y los proyectos a medida empiezan a partir de 3000 €. Si no queréis pagar la migración, la web como servicio la incluye: después pagáis 39 € al mes, o 50 € con los cambios menores (IVA no incluido), con un compromiso de doce meses. Los precios de referencia están en la página de precios.

Reservar una reunión

Treinta minutos, gratis y sin compromiso, con el ingeniero que llevaría el proyecto.

Fuentes

Cómo trabajamos

Lo veis funcionando antes de decidir nada.

Contadnos vuestro caso en treinta minutos.

Reservad una reunión con el ingeniero que llevaría el proyecto: treinta minutos, gratis y sin compromiso. Si encajamos, os decimos cómo empezaríamos; si no, a quién podéis acudir.

Reservar una reunión

O escribid a me@joansanfeliu.com

¿Preferís escribir?

Contadnos el caso en cuatro líneas y os respondemos por correo.

Responsable: Joan Sanfeliu Vilarrasa (SANFELIU). Finalidad: valorar si encajamos y preparar la llamada. Base: vuestra solicitud. Al enviar el formulario, los datos se guardan en nuestros sistemas (AWS, en la Unión Europea) y en nuestro CRM. Destinatarios: Cal.com (Estados Unidos), solo si reserváis la llamada en su calendario; si lo preferís, escribidnos por correo. Derechos: acceso, rectificación, supresión y otros en me@joansanfeliu.com. Política de privacidad