¿Tu web está afectada por PHP2Shell?
El fallo está en PHP y no en WordPress, PrestaShop ni en el tema, así que tener la web actualizada no basta si tu servidor usa una versión antigua de PHP.
Cómo saber si estás afectado
Mira qué versión de PHP usa tu web. Aparece en el panel de tu hosting, en el apartado de configuración de PHP. En WordPress también la ves en Herramientas → Salud del sitio → Información → Servidor.
Situación por versión de PHP
| Versión | Situación |
|---|---|
| 8.5 | Corregida desde la 8.5.12 |
| 8.4 | Corregida desde la 8.4.27 |
| 8.3 | Corregida desde la 8.3.36 |
| 8.2 | Corregida desde la 8.2.35 |
| 7.4, 8.0 y 8.1 | Solo parche en código sin versión oficial corregida |
| 7.3 o anterior | Sin corrección |
Una versión de las ramas 8.2 a 8.5 anterior a la indicada, por ejemplo la 8.3.20, está afectada hasta que se actualice. El riesgo es mayor en servidores Apache con mod_php.
Señales de que alguien ha entrado
- Usuarios administradores que no creaste.
- Archivos PHP nuevos en carpetas de imágenes o de subidas.
- Redirecciones de tu web a otras webs.
- Páginas en Google con tu dominio que no son tuyas.
- Avisos de tu hosting por envío de spam.
Qué puede pasar si entran
Robo de tarjetas
Ocultan código en la página de pago que copia los datos de la tarjeta en cada compra. La tienda sigue funcionando con normalidad mientras tanto.
Robo de la base de datos de clientes
Se llevan nombres, correos, direcciones y pedidos. Como responsable de esos datos, tienes la obligación legal de notificar la brecha.
Ransomware
Cifran los archivos de la web y las copias de seguridad guardadas en el mismo servidor. Solo se salvan las copias que estén fuera de él.
Spam y estafas desde tu servidor
Usan tu servidor para enviar correo basura o alojar páginas fraudulentas. Tu dominio entra en listas negras y tus correos dejan de llegar.
Caída en Google
Crean páginas ocultas de casinos o farmacias y redirigen a tus visitas. Google marca la web como peligrosa y avisa a quien intenta entrar.
Puertas traseras
Dejan archivos o usuarios para volver a entrar más tarde. Siguen dentro aunque actualices PHP, por eso hay que revisar la web además de parchearla.
Cómo reviso y protejo tu web
Reviso versión y servidor
Compruebo qué versión de PHP usa tu web y cómo está configurado el servidor.
Actualizo PHP
Hago una copia de seguridad antes de tocar nada, actualizo PHP y compruebo que la tienda sigue funcionando: pagos, carrito y plugins.
Medidas temporales
Si no se puede actualizar todavía, aplico medidas temporales mientras se prepara el cambio.
Busco accesos
Compruebo si ya han entrado. Si es así, limpio la web y cierro los accesos que hayan dejado.
Trabajo con WordPress y WooCommerce, PrestaShop, Magento y webs PHP a medida.
Miguel Ángel Fuentes Erenas
Trabajo en SEO desde 2014 y desarrollo webs, apps y SaaS. He llevado tiendas online en WordPress y WooCommerce durante años y tengo experiencia arreglando problemas de seguridad en webs PHP.
Trabajo en remoto para empresas de España y Portugal.
El vídeo sobre PHP2Shell
El reproductor de YouTube se carga al pulsar.
Pide una revisión de tu web
Cuéntame qué web tienes y te respondo por correo con lo que habría que hacer. Respondo en menos de 24 horas laborables.
Dudas habituales sobre PHP2Shell
¿Qué es PHP2Shell?
Es el nombre de dos fallos de seguridad del propio PHP, registrados como CVE-2026-109618 y CVE-2026-109619, con una gravedad CVSS de 9,2. El parche se publicó el 21 de octubre de 2026. Afecta a las webs que funcionan con PHP, como WordPress, WooCommerce, PrestaShop, Magento o desarrollos a medida.
¿Cómo sé qué versión de PHP tengo?
Aparece en el panel de tu hosting, en el apartado de configuración de PHP. En WordPress también puedes verla en Herramientas → Salud del sitio → Información → Servidor. Si no la encuentras, tu proveedor de hosting te la puede indicar.
¿Me afecta si tengo WordPress actualizado?
Sí, si tu servidor usa una versión de PHP sin corregir. Actualizar WordPress, los plugins o el tema no cambia la versión de PHP. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
¿Qué hago si no puedo actualizar PHP ahora?
Se pueden aplicar medidas temporales para reducir el riesgo mientras se prepara la actualización, y conviene comprobar si alguien ha entrado ya. Para PHP 7.4, 8.0 y 8.1 no hay versión oficial corregida, solo parches en el código fuente. Para PHP 7.3 o anterior no hay corrección y la salida es actualizar.
¿Prefieres hablarlo directamente?
Escríbeme por WhatsApp con la dirección de tu web y la versión de PHP si la sabes.