[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog:php2shell-web-expuesta":3},{"post":4},{"slug":5,"title":6,"description":7,"excerpt":8,"publishedAt":9,"modifiedAt":9,"readTime":10,"category":11,"cover":14,"seoTitle":19,"robots":20,"body":21,"related":1103},"php2shell-web-expuesta","PHP2Shell: el fallo que dejó expuestas casi 7 de cada 10 webs. ¿Sigue abierta la tuya?","PHP2Shell dejó expuestas casi 7 de cada 10 webs. Comprueba en 10 minutos si la tuya sigue en riesgo, qué pedir a tu hosting y cuándo compensa cambiar.","El 21 de octubre, PHP publicó parches de urgencia y medio Europa apagó webs oficiales por precaución. Qué es PHP2Shell, por qué actualizar WordPress no basta, cómo comprobar en 10 minutos si tu web sigue expuesta y qué hacer si su versión de PHP ya no tiene arreglo.","2026-11-08",14,{"slug":12,"label":13},"diseno-web","Diseño Web",{"src":15,"alt":16,"width":17,"height":18},"\u002Fblog\u002Fphp2shell-web-expuesta.webp","PHP2Shell: cómo saber si tu web sigue expuesta, STUDIOGRX Granada",1200,675,"PHP2Shell: cómo saber si tu web sigue expuesta | STUDIOGRX","index, follow, max-image-preview:large, max-snippet:-1, max-video-preview:-1",{"tree":22,"toc":1082},{"type":23,"value":24},"minimark",[25,43,95,191,199,206,315,322,327,334,337,364,371,375,378,385,393,398,436,441,461,464,468,572,587,607,611,614,635,638,642,645,674,677,681,687,716,725,729,732,759,762,766,772,775,863,875,880,901,915,919,928,936,943,954,962,970,978,986,994,999,1018],[26,27,33,34,38,39,42],"p",{"className":28},[29,30,31,32],"text-xl","text-ink-muted","leading-relaxed","mb-8","\nEl 21 de octubre de 2026, el portal del Gobierno de Países Bajos, los servicios web del Gobierno de Finlandia y las webs de las prefecturas francesas se apagaron a propósito. No era un ataque: era el miedo a uno. Ese día, PHP publicó parches de urgencia para ",[35,36,37],"strong",{},"PHP2Shell",", dos fallos críticos que permiten a un desconocido ejecutar código en el servidor de una web ",[35,40,41],{},"sin usuario ni contraseña",". PHP mueve casi 7 de cada 10 webs, entre ellas todas las hechas con WordPress. Aquí tienes qué ha pasado, cómo comprobar en 10 minutos si la tuya sigue expuesta y qué hacer, con datos revisados el 8 de noviembre de 2026.\n",[44,45,50,56],"div",{"className":46},[47,48,49],"blog-callout","blog-callout--info","my-8",[26,51,55],{"className":52},[53,54],"font-bold","mb-1","La respuesta corta:",[57,58,64,71,77,83,89],"ul",{"className":59},[60,61,62,63],"list-disc","pl-6","space-y-1","mb-0",[65,66,67,70],"li",{},[35,68,69],{},"¿Qué es?"," Dos fallos en el propio PHP (CVE-2026-109618 y CVE-2026-109619), con una gravedad de 9,2 sobre 10. Permiten tomar el control del servidor desde fuera.",[65,72,73,76],{},[35,74,75],{},"¿Me afecta?"," Si tu web usa PHP (WordPress, PrestaShop, Joomla, Drupal, Moodle o muchos paneles a medida) y nadie ha actualizado PHP desde el 21 de octubre, sí.",[65,78,79,82],{},[35,80,81],{},"¿Basta con actualizar WordPress y los plugins?"," No. El fallo está en PHP, no en el gestor. Hay que actualizar PHP y reiniciarlo.",[65,84,85,88],{},[35,86,87],{},"¿Qué versiones lo corrigen?"," PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para la 8.1 y anteriores no hay versión oficial corregida.",[65,90,91,94],{},[35,92,93],{},"¿Qué hago hoy?"," Mira tu versión exacta de PHP y envía a tu hosting las cuatro preguntas que te dejamos más abajo.",[44,96,104,113],{"className":97},[98,99,100,101,102,103],"blog-toc","border","border-border","p-6","mb-12","rounded-lg",[105,106,112],"h2",{"className":107,"id":111},[108,53,109,110],"text-lg","mb-4","mt-0","contenido-del-artículo","Contenido del artículo",[57,114,119,128,135,142,149,156,163,170,177,184],{"className":115},[116,30,117,118,63],"space-y-2","list-none","pl-0",[65,120,121],{},[122,123,127],"a",{"href":124,"className":125},"#que-ha-pasado",[126],"hover:text-accent","1. Qué ha pasado con PHP2Shell y cuándo",[65,129,130],{},[122,131,134],{"href":132,"className":133},"#por-que-es-grave",[126],"2. Por qué es tan grave",[65,136,137],{},[122,138,141],{"href":139,"className":140},"#comprobar",[126],"3. Comprueba tu web en 10 minutos",[65,143,144],{},[122,145,148],{"href":146,"className":147},"#versiones",[126],"4. Qué hacer según tu versión de PHP",[65,150,151],{},[122,152,155],{"href":153,"className":154},"#no-protege",[126],"5. Lo que no te protege",[65,157,158],{},[122,159,162],{"href":160,"className":161},"#hosting",[126],"6. Las cuatro preguntas para tu hosting",[65,164,165],{},[122,166,169],{"href":167,"className":168},"#intrusion",[126],"7. Señales de que ya te han entrado",[65,171,172],{},[122,173,176],{"href":174,"className":175},"#apagar",[126],"8. Si tienes que apagar la web sin perder Google",[65,178,179],{},[122,180,183],{"href":181,"className":182},"#de-fondo",[126],"9. El problema de fondo: webs que ejecutan código en cada visita",[65,185,186],{},[122,187,190],{"href":188,"className":189},"#faq",[126],"10. Preguntas frecuentes",[105,192,127],{"id":193,"className":194},"que-ha-pasado",[195,196,53,197,198],"text-2xl","md:text-3xl","mt-12","mb-6",[26,200,201,202,205],{},"\nPHP es el lenguaje con el que el servidor construye la página cada vez que alguien la visita. Según W3Techs, lo usa el ",[35,203,204],{},"69 % de las webs"," cuyo lenguaje de servidor se conoce. Por eso un fallo en PHP no es un fallo de una web: es un fallo de buena parte de internet. Esta es la cronología:\n",[44,207,211],{"className":208},[209,210],"overflow-x-auto","my-6",[212,213,216,222,243],"table",{"className":214},[215,99,100],"w-full",[217,218,221],"caption",{"className":219},[220],"sr-only","Cronología de PHP2Shell en 2026",[223,224,227],"thead",{"className":225},[226],"bg-surface-muted",[228,229,230,239],"tr",{},[231,232,238],"th",{"className":233},[234,235,236,237],"px-4","py-3","text-left","font-semibold","Fecha (2026)",[231,240,242],{"className":241},[234,235,236,237],"Qué pasó",[244,245,246,260,271,282,293,304],"tbody",{},[228,247,250,256],{"className":248},[249],"border-t",[251,252,255],"td",{"className":253},[234,235,254],"whitespace-nowrap","Agosto",[251,257,259],{"className":258},[234,235],"Investigadores de las empresas de seguridad Calif y Wiz encuentran los fallos revisando el código de PHP con ayuda de modelos de inteligencia artificial.",[228,261,263,267],{"className":262},[249],[251,264,266],{"className":265},[234,235,254],"17 de octubre",[251,268,270],{"className":269},[234,235],"Amazon registra el primer intento de explotación en sus servidores señuelo, cuatro días antes de que el fallo fuera público.",[228,272,274,278],{"className":273},[249],[251,275,277],{"className":276},[234,235,254],"20 de octubre",[251,279,281],{"className":280},[234,235],"PHP anuncia una actualización de seguridad crítica para el día siguiente.",[228,283,285,289],{"className":284},[249],[251,286,288],{"className":287},[234,235,254],"21 de octubre",[251,290,292],{"className":291},[234,235],"Salen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. INCIBE-CERT publica un aviso de importancia crítica, 5 sobre 5. Gobiernos de Países Bajos, Finlandia, Francia, Alemania o Chequia desconectan webs por precaución.",[228,294,296,300],{"className":295},[249],[251,297,299],{"className":298},[234,235,254],"23 de octubre",[251,301,303],{"className":302},[234,235],"PHP avisa de un tercer fallo, menos probable (CVE-2026-115560), y recomienda desactivar una opción hasta la próxima versión.",[228,305,307,311],{"className":306},[249],[251,308,310],{"className":309},[234,235,254],"31 de diciembre",[251,312,314],{"className":313},[234,235],"PHP 8.2 deja de recibir parches de seguridad. Quien la use tendrá que dar otro salto antes de fin de año.",[26,316,317,318,321],{},"\nEn España, el aviso de INCIBE-CERT recoge que hubo ",[35,319,320],{},"ataques contra servidores PHP antes de que salieran los parches",". Y las pymes lo tienen más difícil que un ministerio: muchas no saben qué versión de PHP tienen, ni quién debería actualizarla.\n",[105,323,134],{"id":324,"className":325},"por-que-es-grave",[195,196,53,326,198],"mt-16",[26,328,329,330,333],{},"\nLa mayoría de fallos de seguridad necesitan algo más: una contraseña débil, un plugin concreto o que alguien pinche en un enlace. PHP2Shell no. Basta con enviar una petición preparada a la web para ejecutar código ",[35,331,332],{},"con los permisos del propio servidor",". Es como si la cerradura de la puerta se abriera con cualquier llave.\n",[26,335,336],{},"\nCon ese acceso, un atacante puede hacer casi de todo, y casi siempre en silencio:\n",[57,338,340,346,352,358],{"className":339},[60,61,116],[65,341,342,345],{},[35,343,344],{},"Robar datos:"," los mensajes de tus formularios, los clientes de tu área privada o las contraseñas de la base de datos.",[65,347,348,351],{},[35,349,350],{},"Esconder páginas de spam"," en tu dominio para posicionar casinos o farmacias. Google acaba asociando tu web a ese contenido.",[65,353,354,357],{},[35,355,356],{},"Redirigir a tus visitas"," a otras webs, a menudo solo desde el móvil, para que tú no lo notes.",[65,359,360,363],{},[35,361,362],{},"Usar tu servidor"," para enviar correo basura o atacar a otros. Tu hosting puede suspender la cuenta.",[26,365,366,367,370],{},"\nHay un detalle que lo cambia todo: los fallos se encontraron con inteligencia artificial, y los atacantes también la usan. Amazon vio intentos de ataque cuatro días antes del anuncio. Según Qualys, en las primeras 12 horas solo se actualizaron ",[35,368,369],{},"199.000 instalaciones"," de las 156 millones que vigila en sus clientes. El margen para reaccionar ya no se mide en semanas, sino en horas.\n",[105,372,141],{"id":373,"className":374},"comprobar",[195,196,53,326,198],[26,376,377],{},"\nNo necesitas saber programar. Necesitas responder a tres preguntas, por este orden.\n",[379,380,384],"h3",{"className":381,"id":383},[29,53,382,109],"mt-8","tu-web-usa-php-2-minutos","¿Tu web usa PHP? (2 minutos)",[26,386,387,388,392],{},"\nSi está hecha con WordPress, PrestaShop, Joomla, Drupal o Moodle, sí. Si no lo sabes, abre tu web, pulsa con el botón derecho y elige «Ver código fuente»: si aparece ",[389,390,391],"code",{},"wp-content",", es WordPress. Si te la hizo alguien a medida hace años, pregúntale; muchos paneles de reservas, intranets y áreas de clientes están hechos en PHP.\n",[379,394,397],{"className":395,"id":396},[29,53,382,109],"qué-versión-exacta-tiene-3-minutos","¿Qué versión exacta tiene? (3 minutos)",[57,399,401,412,430],{"className":400},[60,61,116],[65,402,403,406,407,411],{},[35,404,405],{},"En WordPress:"," entra en el escritorio y ve a ",[408,409,410],"em",{},"Herramientas → Salud del sitio → Información → Servidor",". Ahí sale la versión completa, por ejemplo 8.3.36.",[65,413,414,417,418,421,422,425,426,429],{},[35,415,416],{},"En el panel del hosting:"," busca «Versión de PHP» (en cPanel suele estar en ",[408,419,420],{},"MultiPHP Manager"," o ",[408,423,424],{},"Seleccionar versión de PHP","; en Plesk, en ",[408,427,428],{},"Configuración de PHP","). Ojo: muchos paneles solo muestran la rama, como «8.3», no si tiene el parche.",[65,431,432,435],{},[35,433,434],{},"Si no tienes acceso a nada:"," pásale la pregunta a tu hosting o a quien te mantiene la web (te dejamos el texto en el apartado 6).",[379,437,440],{"className":438,"id":439},[29,53,382,109],"hay-señales-raras-5-minutos","¿Hay señales raras? (5 minutos)",[57,442,444,451,458],{"className":443},[60,61,116],[65,445,446,447,450],{},"Busca en Google ",[389,448,449],{},"site:tudominio.com"," y revisa si salen páginas que no son tuyas, en otros idiomas o con productos que no vendes.",[65,452,453,454,457],{},"En Search Console, abre ",[408,455,456],{},"Seguridad y acciones manuales → Problemas de seguridad",". Si Google ha detectado algo, aparece ahí.",[65,459,460],{},"En WordPress, revisa la lista de usuarios: un administrador que no conoces es mala señal.",[26,462,463],{},"\nSi las tres respuestas te tranquilizan, perfecto. Si alguna no, sigue leyendo: el apartado 7 explica qué hacer.\n",[105,465,148],{"id":466,"className":467},"versiones",[195,196,53,326,198],[44,469,471],{"className":470},[209,210],[212,472,474,478,495],{"className":473},[215,99,100],[217,475,477],{"className":476},[220],"Qué hacer según tu versión de PHP",[223,479,481],{"className":480},[226],[228,482,483,487,491],{},[231,484,486],{"className":485},[234,235,236,237],"Si tu versión es…",[231,488,490],{"className":489},[234,235,236,237],"Situación",[231,492,494],{"className":493},[234,235,236,237],"Qué hacer",[244,496,497,512,527,542,557],{},[228,498,500,504,508],{"className":499},[249],[251,501,503],{"className":502},[234,235],"8.5.12, 8.4.27, 8.3.36 o superior",[251,505,507],{"className":506},[234,235],"Corregida",[251,509,511],{"className":510},[234,235],"Confirma que PHP se reinició tras actualizar y revisa las señales del apartado 7.",[228,513,515,519,523],{"className":514},[249],[251,516,518],{"className":517},[234,235],"8.2.35",[251,520,522],{"className":521},[234,235],"Corregida, pero sin soporte desde el 31 de diciembre de 2026",[251,524,526],{"className":525},[234,235],"Planifica ya el paso a 8.3 o superior y prueba antes que la web funciona.",[228,528,530,534,538],{"className":529},[249],[251,531,533],{"className":532},[234,235],"8.2, 8.3, 8.4 u 8.5 anteriores a esas",[251,535,537],{"className":536},[234,235],"Expuesta",[251,539,541],{"className":540},[234,235],"Actualiza hoy. Si no puedes, pide a tu hosting que lo haga.",[228,543,545,549,553],{"className":544},[249],[251,546,548],{"className":547},[234,235],"8.1, 8.0 o 7.4",[251,550,552],{"className":551},[234,235],"Sin versión oficial corregida",[251,554,556],{"className":555},[234,235],"PHP solo publicó parches de código. Pregunta si tu proveedor los ha aplicado y planifica la salida.",[228,558,560,564,568],{"className":559},[249],[251,561,563],{"className":562},[234,235],"7.3 o anterior, incluida la 5",[251,565,567],{"className":566},[234,235],"Sin arreglo",[251,569,571],{"className":570},[234,235],"Trátala como abierta: protégela o desconéctala y prepara su sustitución.",[26,573,574,575,578,579,582,583,586],{},"\nLa última fila no es rara. Según W3Techs, el ",[35,576,577],{},"25,9 %"," de las webs con PHP sigue en la versión 7 y el ",[35,580,581],{},"7,5 %",", en la 5. Es decir, ",[35,584,585],{},"una de cada tres"," no tiene una versión oficial que instalar. Y no siempre basta con subir de versión: una web antigua puede dejar de funcionar en PHP 8 porque su código, sus plugins o su tema no son compatibles.\n",[44,588,591,595],{"className":589},[47,590,49],"blog-callout--warning",[26,592,594],{"className":593},[53,54],"El caso más delicado: aplicaciones a medida antiguas",[26,596,598,599,606],{"className":597},[63],"Un sistema de reservas, un área de clientes o una intranet que alguien programó en PHP hace diez años suele estar en PHP 5 o 7. No tiene parche, y actualizar PHP lo rompe. Mantenerlo así es dejar una puerta abierta con los datos de tus clientes dentro. Si es tu caso, lo sensato es plantear su sustitución por una ",[122,600,605],{"href":601,"className":602},"\u002Faplicaciones",[603,604],"text-accent","hover:underline","aplicación a medida"," con una base actual.",[105,608,155],{"id":609,"className":610},"no-protege",[195,196,53,326,198],[26,612,613],{},"\nEstas son las tres falsas tranquilidades que más se oyen estos días:\n",[57,615,617,623,629],{"className":616},[60,61,116],[65,618,619,622],{},[35,620,621],{},"«Tengo WordPress y los plugins al día»."," Bien, pero no cambia nada aquí. El fallo está en PHP, que es lo que ejecuta WordPress. Hay que actualizar PHP en el servidor.",[65,624,625,628],{},[35,626,627],{},"«Tengo un plugin de seguridad»."," Funciona dentro de WordPress, es decir, encima de PHP. No puede arreglar el motor sobre el que se apoya.",[65,630,631,634],{},[35,632,633],{},"«Tengo un cortafuegos (WAF)»."," Puede frenar algunos ataques conocidos, y conviene tenerlo. Pero PHP es claro: no hay mitigación completa y actualizar es la única opción segura.",[26,636,637],{},"\nHay un cuarto error, más técnico: actualizar PHP y no reiniciarlo. Los procesos que ya estaban en marcha siguen usando el código antiguo hasta que se reinician. Por eso una de las preguntas para tu hosting va justo de eso.\n",[105,639,162],{"id":640,"className":641},"hosting",[195,196,53,326,198],[26,643,644],{},"\nEn un hosting compartido o gestionado, actualizar PHP suele ser cosa del proveedor. Pero «suele» no es «seguro»: si en su día elegiste una versión antigua para que tu web funcionara, puede seguir ahí. Copia este mensaje y envíalo hoy:\n",[44,646,648,653,670],{"className":647},[47,48,49],[26,649,652],{"className":650},[651],"mb-2","Hola. Por la vulnerabilidad PHP2Shell (CVE-2026-109618 y CVE-2026-109619), necesito confirmar cuatro cosas sobre mi web [tu dominio]:",[654,655,658,661,664,667],"ol",{"className":656},[657,61,62,651],"list-decimal",[65,659,660],{},"¿Qué versión exacta de PHP usa ahora mismo (por ejemplo, 8.3.36)?",[65,662,663],{},"Si es la 8.1 o anterior, ¿habéis aplicado los parches de seguridad retroportados?",[65,665,666],{},"¿Se reiniciaron los procesos de PHP después de actualizar?",[65,668,669],{},"¿Habéis revisado si hubo accesos o archivos sospechosos desde el 17 de octubre?",[26,671,673],{"className":672},[63],"Gracias.",[26,675,676],{},"\nSi la respuesta tarda días o es vaga, eso ya es una respuesta. Una web con datos de clientes necesita a alguien que conteste en horas cuando pasa algo así.\n",[105,678,169],{"id":679,"className":680},"intrusion",[195,196,53,326,198],[26,682,683,684,686],{},"\nAmazon recomienda empezar a investigar desde el ",[35,685,266],{},", no desde el día del anuncio. Estas son las señales más comunes:\n",[57,688,690,701,704,710,713],{"className":689},[60,61,116],[65,691,692,693,696,697,700],{},"Archivos ",[389,694,695],{},".php"," que no reconoces, sobre todo en carpetas de subidas como ",[389,698,699],{},"wp-content\u002Fuploads",".",[65,702,703],{},"Usuarios administradores nuevos o cambios en contenidos que nadie de tu equipo ha hecho.",[65,705,706,707,709],{},"Páginas extrañas en Google al buscar ",[389,708,449],{},", o un aviso de Google en los resultados de que el sitio puede haber sido hackeado.",[65,711,712],{},"Visitas desde el móvil que acaban en otra web.",[65,714,715],{},"Avisos del hosting por consumo alto de recursos o por envío masivo de correo.",[26,717,718,719,724],{},"\nSi ves alguna, no te limites a borrar el archivo raro: el atacante suele dejar más de una entrada. Lo correcto es restaurar una copia limpia anterior al 17 de octubre, actualizar PHP, cambiar todas las contraseñas y, si Google marcó la web, pedir una revisión desde Search Console. Si tu web ha perdido posiciones por contenido inyectado, te ayudamos a recuperarlas desde nuestro ",[122,720,723],{"href":721,"className":722},"\u002Fseo",[603,604],"servicio de SEO",".\n",[105,726,176],{"id":727,"className":728},"apagar",[195,196,53,326,198],[26,730,731],{},"\nApagar la web mientras se actualiza es una decisión razonable; los gobiernos lo hicieron. Pero hacerlo mal puede costarte posiciones. John Mueller, de Google, lo resumió el mismo 21 de octubre:\n",[57,733,735,741,747,753],{"className":734},[60,61,116],[65,736,737,740],{},[35,738,739],{},"Devuelve un código 503"," («servicio no disponible»). Le dice a Google que es temporal y que vuelva más tarde.",[65,742,743,746],{},[35,744,745],{},"No dejes que la web dé error 404 o 500, ni que se quede cargando."," Para Google, eso puede parecer una web rota o desaparecida.",[65,748,749,752],{},[35,750,751],{},"Hazlo fuera de PHP:"," desde el servidor web, el CDN o apuntando el dominio a otro sitio. Si el 503 lo genera el propio PHP, sigues expuesto.",[65,754,755,758],{},[35,756,757],{},"Que sean horas, no semanas."," Google recomienda el 503 para cortes breves. Si el arreglo va para largo, publica una versión estática con lo básico: quién eres, qué haces y cómo contactarte.",[26,760,761],{},"\nEse último punto da una pista de lo que viene a continuación.\n",[105,763,183],{"id":764,"className":765},"de-fondo",[195,196,53,326,198],[26,767,768,769,724],{},"\nPHP2Shell no es el primero y no será el último. En 2021 fue Log4j, y Google dio entonces el mismo consejo de los 503. La pregunta útil no es solo «¿he parcheado?», sino ",[35,770,771],{},"«¿cuántas puertas tiene mi web abiertas a cualquiera?»",[26,773,774],{},"\nUna web con PHP construye cada página en el servidor, en el momento en que alguien la pide. Eso significa que hay un programa respondiendo a cualquier visitante, también a los malintencionados. Una web generada de antemano funciona al revés: las páginas se crean al publicar y el servidor solo entrega archivos ya hechos. Así trabaja Astro, el sistema con el que programamos nuestras webs.\n",[44,776,778],{"className":777},[209,210],[212,779,781,785,801],{"className":780},[215,99,100],[217,782,784],{"className":783},[220],"Web con PHP frente a web generada de antemano",[223,786,788],{"className":787},[226],[228,789,790,793,797],{},[231,791],{"className":792},[234,235,236,237],[231,794,796],{"className":795},[234,235,236,237],"Web con PHP (WordPress, PrestaShop, Joomla…)",[231,798,800],{"className":799},[234,235,236,237],"Web generada de antemano (Astro)",[244,802,803,818,833,848],{},[228,804,806,810,814],{"className":805},[249],[251,807,809],{"className":808},[234,235,237],"En cada visita",[251,811,813],{"className":812},[234,235],"El servidor ejecuta PHP para montar la página",[251,815,817],{"className":816},[234,235],"El servidor entrega una página ya hecha",[228,819,821,825,829],{"className":820},[249],[251,822,824],{"className":823},[234,235,237],"Qué hay que vigilar",[251,826,828],{"className":827},[234,235],"PHP, el gestor, el tema y cada plugin",[251,830,832],{"className":831},[234,235],"Mucho menos: no hay intérprete ni plugins atendiendo visitas",[228,834,836,840,844],{"className":835},[249],[251,837,839],{"className":838},[234,235,237],"Qué supuso PHP2Shell",[251,841,843],{"className":842},[234,235],"Actualizar y reiniciar PHP, o apagar la web",[251,845,847],{"className":846},[234,235],"Nada en la web pública: no hay PHP que atacar",[228,849,851,855,859],{"className":850},[249],[251,852,854],{"className":853},[234,235,237],"Velocidad",[251,856,858],{"className":857},[234,235],"Depende de la caché y de los plugins",[251,860,862],{"className":861},[234,235],"Muy rápida de serie, porque no hay nada que calcular",[26,864,865,866,869,870,724],{},"\nSeamos justos: ninguna web es invulnerable. Una web con Astro también necesita cuidar los formularios, la cuenta del hosting y los scripts de terceros. Y un WordPress bien mantenido, en un hosting que parcheó el mismo día, salió de esta sin daños. Lo que cambia es ",[35,867,868],{},"cuánta superficie queda expuesta y cuánto depende tu tranquilidad de que alguien actualice a tiempo",". Lo comparamos con calma en ",[122,871,874],{"href":872,"className":873},"\u002Fblog\u002Fwordpress-vs-web-a-medida-2026",[603,604],"WordPress o web a medida: qué le conviene a tu negocio",[379,876,879],{"className":877,"id":878},[29,53,382,109],"cuándo-compensa-cambiar","Cuándo compensa cambiar",[57,881,883,889,895],{"className":882},[60,61,116],[65,884,885,888],{},[35,886,887],{},"No hace falta"," si tu hosting ya parcheó, usas PHP 8.3 o superior y alguien mantiene la web cada mes.",[65,890,891,894],{},[35,892,893],{},"Toca planificarlo"," si estás en PHP 8.2 o en una versión con parches retroportados: tienes semanas, no años.",[65,896,897,900],{},[35,898,899],{},"Es urgente"," si estás en PHP 7.3 o anterior, si tu web no aguanta PHP 8 o si nadie responde cuando preguntas.",[26,902,903,904,909,910,724],{},"\nRehacer una web no tiene por qué costarte el tráfico que ya tienes. Con redirecciones bien hechas y los textos que ya posicionan, se puede ",[122,905,908],{"href":906,"className":907},"\u002Fblog\u002Fmigrar-web-sin-perder-seo",[603,604],"migrar una web sin perder SEO",". Y si quieres una foto completa antes de decidir, empieza por una ",[122,911,914],{"href":912,"className":913},"\u002Fblog\u002Fauditoria-seo-2026",[603,604],"auditoría SEO",[105,916,190],{"id":917,"className":918},"faq",[195,196,53,326,198],[26,920,921,924,927],{},[35,922,923],{},"¿Qué es PHP2Shell?",[925,926],"br",{},"\nEs el nombre de dos vulnerabilidades críticas en PHP, CVE-2026-109618 y CVE-2026-109619, publicadas el 21 de octubre de 2026. Permiten a un atacante ejecutar código en el servidor de una web sin necesidad de usuario ni contraseña.",[26,929,930,933,935],{},[35,931,932],{},"¿Mi web en WordPress está afectada?",[925,934],{},"\nLo estaba si su servidor usaba PHP sin actualizar, porque WordPress funciona sobre PHP. Deja de estarlo cuando el servidor pasa a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y se reinicia.",[26,937,938,940,942],{},[35,939,81],{},[925,941],{},"\nNo. Es buena práctica, pero el fallo está en PHP, no en WordPress. Hay que actualizar PHP en el servidor.",[26,944,945,948,950,951,953],{},[35,946,947],{},"¿Cómo sé qué versión de PHP tengo?",[925,949],{},"\nEn WordPress, en ",[408,952,410],{},". Si no, en el panel de tu hosting o preguntándole a tu proveedor. Necesitas la versión completa, como 8.3.36, no solo «8.3».",[26,955,956,959,961],{},[35,957,958],{},"Si mi hosting es compartido, ¿lo actualiza él?",[925,960],{},"\nNormalmente sí, pero no lo des por hecho. Si elegiste una versión antigua para que tu web funcionara, puede seguir activa. Envíale las cuatro preguntas del apartado 6.",[26,963,964,967,969],{},[35,965,966],{},"¿Y si mi web usa PHP 7 o PHP 5?",[925,968],{},"\nNo hay una versión oficial corregida. Para la 7.4 existen parches de código que algunos proveedores han aplicado; para la 7.3 y anteriores, no. Lo prudente es planificar su sustitución cuanto antes.",[26,971,972,975,977],{},[35,973,974],{},"¿Afecta a webs hechas con Wix o Squarespace?",[925,976],{},"\nSon plataformas alojadas: los servidores los gestiona el proveedor y tú no puedes ni tienes que actualizar PHP. Si te preocupa, consulta sus avisos de seguridad.",[26,979,980,983,985],{},[35,981,982],{},"¿Una web hecha con Astro es invulnerable?",[925,984],{},"\nNo, ninguna lo es. Pero PHP2Shell no le afecta, porque no usa PHP y sus páginas se generan antes de que nadie las visite.",[26,987,988,991,993],{},[35,989,990],{},"¿Tengo que rehacer mi web?",[925,992],{},"\nNo necesariamente. Si tu PHP ya está corregido y la web se mantiene al día, puedes seguir. Compensa rehacerla si usa una versión sin arreglo, si no aguanta PHP 8 o si ya pensabas renovarla.",[105,995,998],{"className":996,"id":997},[195,196,53,326,198],"siguiente-paso","Siguiente paso",[26,1000,1001,1002,1007,1008,1011,1012,1017],{},"\nPHP2Shell ha dejado una lección incómoda: la seguridad de muchas webs depende de que alguien actualice a tiempo algo que su dueño ni sabía que tenía. Si tu web está en una versión sin arreglo o va a necesitar el salto a PHP 8, quizá sea el momento de ",[122,1003,1006],{"href":1004,"className":1005},"\u002Fweb",[603,604],"rehacerla con Astro",", más rápida y con menos puertas abiertas, sin perder lo que ya posiciona. Si lo que tienes es un área de clientes o un sistema de reservas antiguo, lo convertimos en una ",[122,1009,605],{"href":601,"className":1010},[603,604]," con pagos mediante Stripe. ",[122,1013,1016],{"href":1014,"className":1015},"\u002Fcontacto",[603,604],"Escríbenos con la dirección de tu web"," y te decimos qué tiene sentido en tu caso, aunque la respuesta sea que basta con actualizar.\n",[26,1019,1022,1023,1031,1032,1031,1038,1031,1044,1031,1050,1031,1056,1031,1062,1031,1068,1074,1075,1081],{"className":1020},[1021,30,197],"text-sm","\nFuentes: ",[122,1024,1030],{"href":1025,"target":1026,"rel":1027,"className":1029},"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php#2026-10-21-5","_blank",[1028],"noopener",[603,604],"aviso de seguridad y versiones corregidas de PHP (21 y 23 de octubre de 2026)",", ",[122,1033,1037],{"href":1034,"target":1026,"rel":1035,"className":1036},"https:\u002F\u002Fwww.incibe.es\u002Findex.php\u002Fincibe-cert\u002Falerta-temprana\u002Favisos\u002Fmultiples-vulnerabilidades-en-php",[1028],[603,604],"aviso de INCIBE-CERT (actualizado el 26 de octubre)",[122,1039,1043],{"href":1040,"target":1026,"rel":1041,"className":1042},"https:\u002F\u002Faws.amazon.com\u002Fblogs\u002Fsecurity\u002Famazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\u002F",[1028],[603,604],"Amazon Threat Intelligence (21 de octubre)",[122,1045,1049],{"href":1046,"target":1026,"rel":1047,"className":1048},"https:\u002F\u002Fblog.qualys.com\u002Fvulnerabilities-threat-research\u002F2026\u002F10\u002F20\u002Fphp-announces-critical-security-release-for-two-vulnerabilities",[1028],[603,604],"Qualys (actualizado el 29 de octubre)",[122,1051,1055],{"href":1052,"target":1026,"rel":1053,"className":1054},"https:\u002F\u002Fwww.wiz.io\u002Fblog\u002Fphp2shell-php-rce",[1028],[603,604],"Wiz",[122,1057,1061],{"href":1058,"target":1026,"rel":1059,"className":1060},"https:\u002F\u002Fwww.koreatimes.co.kr\u002Fworld\u002F20261023\u002Fgovernments-companies-take-websites-offline-over-php-flaws",[1028],[603,604],"webs desconectadas por gobiernos y empresas (Reuters, 23 de octubre)",[122,1063,1067],{"href":1064,"target":1026,"rel":1065,"className":1066},"https:\u002F\u002Fwww.seroundtable.com\u002Fgoogle-php2shell-42353.html",[1028],[603,604],"consejo de John Mueller sobre el 503 (Search Engine Roundtable)",[122,1069,1073],{"href":1070,"target":1026,"rel":1071,"className":1072},"https:\u002F\u002Fdevelopers.google.com\u002Fsearch\u002Fdocs\u002Fcrawling-indexing\u002Fpause-online-business",[1028],[603,604],"Google: cómo pausar una web temporalmente"," y ",[122,1076,1080],{"href":1077,"target":1026,"rel":1078,"className":1079},"https:\u002F\u002Fw3techs.com\u002Ftechnologies\u002Fdetails\u002Fpl-php",[1028],[603,604],"uso de PHP por versión (W3Techs, 8 de noviembre de 2026)",". Información revisada el 8 de noviembre de 2026.\n",[1083,1085,1086,1087,1093,1094,1095,1096,1097,1098,1101,1102],{"id":111,"depth":1084,"text":112},2,{"id":193,"depth":1084,"text":127},{"id":324,"depth":1084,"text":134},{"id":373,"depth":1084,"text":141,"children":1088},[1089,1091,1092],{"id":383,"depth":1090,"text":384},3,{"id":396,"depth":1090,"text":397},{"id":439,"depth":1090,"text":440},{"id":466,"depth":1084,"text":148},{"id":609,"depth":1084,"text":155},{"id":640,"depth":1084,"text":162},{"id":679,"depth":1084,"text":169},{"id":727,"depth":1084,"text":176},{"id":764,"depth":1084,"text":183,"children":1099},[1100],{"id":878,"depth":1090,"text":879},{"id":917,"depth":1084,"text":190},{"id":997,"depth":1084,"text":998},[1104,1108,1114],{"slug":1105,"title":1106,"category":1107},"wordpress-vs-web-a-medida-2026","WordPress o web a medida en 2026: qué le conviene a tu negocio",{"slug":12,"label":13},{"slug":1109,"title":1110,"category":1111},"migrar-web-sin-perder-seo","Cómo migrar una web sin perder SEO en 2026: checklist práctico",{"slug":1112,"label":1113},"seo","SEO",{"slug":1115,"title":1116,"category":1117},"auditoria-seo-2026","Cómo hacer una auditoría SEO en 2026: checklist para pymes y negocios locales",{"slug":1112,"label":1113}]