PHP2Shell: el fallo que dejó expuestas casi 7 de cada 10 webs. ¿Sigue abierta la tuya?

El 21 de octubre de 2026, el portal del Gobierno de Países Bajos, los servicios web del Gobierno de Finlandia y las webs de las prefecturas francesas se apagaron a propósito. No era un ataque: era el miedo a uno. Ese día, PHP publicó parches de urgencia para PHP2Shell, dos fallos críticos que permiten a un desconocido ejecutar código en el servidor de una web sin usuario ni contraseña. PHP mueve casi 7 de cada 10 webs, entre ellas todas las hechas con WordPress. Aquí tienes qué ha pasado, cómo comprobar en 10 minutos si la tuya sigue expuesta y qué hacer, con datos revisados el 8 de noviembre de 2026.

1. Qué ha pasado con PHP2Shell y cuándo

PHP es el lenguaje con el que el servidor construye la página cada vez que alguien la visita. Según W3Techs, lo usa el 69 % de las webs cuyo lenguaje de servidor se conoce. Por eso un fallo en PHP no es un fallo de una web: es un fallo de buena parte de internet. Esta es la cronología:

En España, el aviso de INCIBE-CERT recoge que hubo ataques contra servidores PHP antes de que salieran los parches. Y las pymes lo tienen más difícil que un ministerio: muchas no saben qué versión de PHP tienen, ni quién debería actualizarla.

2. Por qué es tan grave

La mayoría de fallos de seguridad necesitan algo más: una contraseña débil, un plugin concreto o que alguien pinche en un enlace. PHP2Shell no. Basta con enviar una petición preparada a la web para ejecutar código con los permisos del propio servidor. Es como si la cerradura de la puerta se abriera con cualquier llave.

Con ese acceso, un atacante puede hacer casi de todo, y casi siempre en silencio:

• Robar datos: los mensajes de tus formularios, los clientes de tu área privada o las contraseñas de la base de datos.
• Esconder páginas de spam en tu dominio para posicionar casinos o farmacias. Google acaba asociando tu web a ese contenido.
• Redirigir a tus visitas a otras webs, a menudo solo desde el móvil, para que tú no lo notes.
• Usar tu servidor para enviar correo basura o atacar a otros. Tu hosting puede suspender la cuenta.

Hay un detalle que lo cambia todo: los fallos se encontraron con inteligencia artificial, y los atacantes también la usan. Amazon vio intentos de ataque cuatro días antes del anuncio. Según Qualys, en las primeras 12 horas solo se actualizaron 199.000 instalaciones de las 156 millones que vigila en sus clientes. El margen para reaccionar ya no se mide en semanas, sino en horas.

3. Comprueba tu web en 10 minutos

No necesitas saber programar. Necesitas responder a tres preguntas, por este orden.

¿Tu web usa PHP? (2 minutos)

Si está hecha con WordPress, PrestaShop, Joomla, Drupal o Moodle, sí. Si no lo sabes, abre tu web, pulsa con el botón derecho y elige «Ver código fuente»: si aparece wp-content, es WordPress. Si te la hizo alguien a medida hace años, pregúntale; muchos paneles de reservas, intranets y áreas de clientes están hechos en PHP.

¿Qué versión exacta tiene? (3 minutos)

• En WordPress: entra en el escritorio y ve a Herramientas → Salud del sitio → Información → Servidor. Ahí sale la versión completa, por ejemplo 8.3.36.
• En el panel del hosting: busca «Versión de PHP» (en cPanel suele estar en MultiPHP Manager o Seleccionar versión de PHP; en Plesk, en Configuración de PHP). Ojo: muchos paneles solo muestran la rama, como «8.3», no si tiene el parche.
• Si no tienes acceso a nada: pásale la pregunta a tu hosting o a quien te mantiene la web (te dejamos el texto en el apartado 6).

¿Hay señales raras? (5 minutos)

• Busca en Google site:tudominio.com y revisa si salen páginas que no son tuyas, en otros idiomas o con productos que no vendes.
• En Search Console, abre Seguridad y acciones manuales → Problemas de seguridad. Si Google ha detectado algo, aparece ahí.
• En WordPress, revisa la lista de usuarios: un administrador que no conoces es mala señal.

Si las tres respuestas te tranquilizan, perfecto. Si alguna no, sigue leyendo: el apartado 7 explica qué hacer.

4. Qué hacer según tu versión de PHP

La última fila no es rara. Según W3Techs, el 25,9 % de las webs con PHP sigue en la versión 7 y el 7,5 %, en la 5. Es decir, una de cada tres no tiene una versión oficial que instalar. Y no siempre basta con subir de versión: una web antigua puede dejar de funcionar en PHP 8 porque su código, sus plugins o su tema no son compatibles.

5. Lo que no te protege

Estas son las tres falsas tranquilidades que más se oyen estos días:

• «Tengo WordPress y los plugins al día». Bien, pero no cambia nada aquí. El fallo está en PHP, que es lo que ejecuta WordPress. Hay que actualizar PHP en el servidor.
• «Tengo un plugin de seguridad». Funciona dentro de WordPress, es decir, encima de PHP. No puede arreglar el motor sobre el que se apoya.
• «Tengo un cortafuegos (WAF)». Puede frenar algunos ataques conocidos, y conviene tenerlo. Pero PHP es claro: no hay mitigación completa y actualizar es la única opción segura.

Hay un cuarto error, más técnico: actualizar PHP y no reiniciarlo. Los procesos que ya estaban en marcha siguen usando el código antiguo hasta que se reinician. Por eso una de las preguntas para tu hosting va justo de eso.

6. Las cuatro preguntas para tu hosting

En un hosting compartido o gestionado, actualizar PHP suele ser cosa del proveedor. Pero «suele» no es «seguro»: si en su día elegiste una versión antigua para que tu web funcionara, puede seguir ahí. Copia este mensaje y envíalo hoy:

Si la respuesta tarda días o es vaga, eso ya es una respuesta. Una web con datos de clientes necesita a alguien que conteste en horas cuando pasa algo así.

7. Señales de que ya te han entrado

Amazon recomienda empezar a investigar desde el 17 de octubre, no desde el día del anuncio. Estas son las señales más comunes:

• Archivos .php que no reconoces, sobre todo en carpetas de subidas como wp-content/uploads.
• Usuarios administradores nuevos o cambios en contenidos que nadie de tu equipo ha hecho.
• Páginas extrañas en Google al buscar site:tudominio.com, o un aviso de Google en los resultados de que el sitio puede haber sido hackeado.
• Visitas desde el móvil que acaban en otra web.
• Avisos del hosting por consumo alto de recursos o por envío masivo de correo.

Si ves alguna, no te limites a borrar el archivo raro: el atacante suele dejar más de una entrada. Lo correcto es restaurar una copia limpia anterior al 17 de octubre, actualizar PHP, cambiar todas las contraseñas y, si Google marcó la web, pedir una revisión desde Search Console. Si tu web ha perdido posiciones por contenido inyectado, te ayudamos a recuperarlas desde nuestro servicio de SEO.

8. Si tienes que apagar la web sin perder Google

Apagar la web mientras se actualiza es una decisión razonable; los gobiernos lo hicieron. Pero hacerlo mal puede costarte posiciones. John Mueller, de Google, lo resumió el mismo 21 de octubre:

• Devuelve un código 503 («servicio no disponible»). Le dice a Google que es temporal y que vuelva más tarde.
• No dejes que la web dé error 404 o 500, ni que se quede cargando. Para Google, eso puede parecer una web rota o desaparecida.
• Hazlo fuera de PHP: desde el servidor web, el CDN o apuntando el dominio a otro sitio. Si el 503 lo genera el propio PHP, sigues expuesto.
• Que sean horas, no semanas. Google recomienda el 503 para cortes breves. Si el arreglo va para largo, publica una versión estática con lo básico: quién eres, qué haces y cómo contactarte.

Ese último punto da una pista de lo que viene a continuación.

9. El problema de fondo: webs que ejecutan código en cada visita

PHP2Shell no es el primero y no será el último. En 2021 fue Log4j, y Google dio entonces el mismo consejo de los 503. La pregunta útil no es solo «¿he parcheado?», sino «¿cuántas puertas tiene mi web abiertas a cualquiera?».

Una web con PHP construye cada página en el servidor, en el momento en que alguien la pide. Eso significa que hay un programa respondiendo a cualquier visitante, también a los malintencionados. Una web generada de antemano funciona al revés: las páginas se crean al publicar y el servidor solo entrega archivos ya hechos. Así trabaja Astro, el sistema con el que programamos nuestras webs.

Seamos justos: ninguna web es invulnerable. Una web con Astro también necesita cuidar los formularios, la cuenta del hosting y los scripts de terceros. Y un WordPress bien mantenido, en un hosting que parcheó el mismo día, salió de esta sin daños. Lo que cambia es cuánta superficie queda expuesta y cuánto depende tu tranquilidad de que alguien actualice a tiempo. Lo comparamos con calma en WordPress o web a medida: qué le conviene a tu negocio.

Cuándo compensa cambiar

• No hace falta si tu hosting ya parcheó, usas PHP 8.3 o superior y alguien mantiene la web cada mes.
• Toca planificarlo si estás en PHP 8.2 o en una versión con parches retroportados: tienes semanas, no años.
• Es urgente si estás en PHP 7.3 o anterior, si tu web no aguanta PHP 8 o si nadie responde cuando preguntas.

Rehacer una web no tiene por qué costarte el tráfico que ya tienes. Con redirecciones bien hechas y los textos que ya posicionan, se puede migrar una web sin perder SEO. Y si quieres una foto completa antes de decidir, empieza por una auditoría SEO.

10. Preguntas frecuentes

¿Qué es PHP2Shell?
Es el nombre de dos vulnerabilidades críticas en PHP, CVE-2026-109618 y CVE-2026-109619, publicadas el 21 de octubre de 2026. Permiten a un atacante ejecutar código en el servidor de una web sin necesidad de usuario ni contraseña.

¿Mi web en WordPress está afectada?
Lo estaba si su servidor usaba PHP sin actualizar, porque WordPress funciona sobre PHP. Deja de estarlo cuando el servidor pasa a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y se reinicia.

¿Basta con actualizar WordPress y los plugins?
No. Es buena práctica, pero el fallo está en PHP, no en WordPress. Hay que actualizar PHP en el servidor.

¿Cómo sé qué versión de PHP tengo?
En WordPress, en Herramientas → Salud del sitio → Información → Servidor. Si no, en el panel de tu hosting o preguntándole a tu proveedor. Necesitas la versión completa, como 8.3.36, no solo «8.3».

Si mi hosting es compartido, ¿lo actualiza él?
Normalmente sí, pero no lo des por hecho. Si elegiste una versión antigua para que tu web funcionara, puede seguir activa. Envíale las cuatro preguntas del apartado 6.

¿Y si mi web usa PHP 7 o PHP 5?
No hay una versión oficial corregida. Para la 7.4 existen parches de código que algunos proveedores han aplicado; para la 7.3 y anteriores, no. Lo prudente es planificar su sustitución cuanto antes.

¿Afecta a webs hechas con Wix o Squarespace?
Son plataformas alojadas: los servidores los gestiona el proveedor y tú no puedes ni tienes que actualizar PHP. Si te preocupa, consulta sus avisos de seguridad.

¿Una web hecha con Astro es invulnerable?
No, ninguna lo es. Pero PHP2Shell no le afecta, porque no usa PHP y sus páginas se generan antes de que nadie las visite.

¿Tengo que rehacer mi web?
No necesariamente. Si tu PHP ya está corregido y la web se mantiene al día, puedes seguir. Compensa rehacerla si usa una versión sin arreglo, si no aguanta PHP 8 o si ya pensabas renovarla.

Siguiente paso

PHP2Shell ha dejado una lección incómoda: la seguridad de muchas webs depende de que alguien actualice a tiempo algo que su dueño ni sabía que tenía. Si tu web está en una versión sin arreglo o va a necesitar el salto a PHP 8, quizá sea el momento de rehacerla con Astro, más rápida y con menos puertas abiertas, sin perder lo que ya posiciona. Si lo que tienes es un área de clientes o un sistema de reservas antiguo, lo convertimos en una aplicación a medida con pagos mediante Stripe. Escríbenos con la dirección de tu web y te decimos qué tiene sentido en tu caso, aunque la respuesta sea que basta con actualizar.

Fuentes: aviso de seguridad y versiones corregidas de PHP (21 y 23 de octubre de 2026) (se abre en una pestaña nueva), aviso de INCIBE-CERT (actualizado el 26 de octubre) (se abre en una pestaña nueva), Amazon Threat Intelligence (21 de octubre) (se abre en una pestaña nueva), Qualys (actualizado el 29 de octubre) (se abre en una pestaña nueva), Wiz (se abre en una pestaña nueva), webs desconectadas por gobiernos y empresas (Reuters, 23 de octubre) (se abre en una pestaña nueva), consejo de John Mueller sobre el 503 (Search Engine Roundtable) (se abre en una pestaña nueva), Google: cómo pausar una web temporalmente (se abre en una pestaña nueva) y uso de PHP por versión (W3Techs, 8 de noviembre de 2026) (se abre en una pestaña nueva). Información revisada el 8 de noviembre de 2026.