En resumen: el 21 de octubre de 2026, PHP publicó parches urgentes para dos fallas críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell. Permiten que un atacante ejecute código en el servidor sin iniciar sesión. Afectan a cualquier sitio hecho en PHP, incluido WordPress. Actualizar WordPress o sus plugins no lo resuelve: la solución es actualizar PHP en el servidor a la versión 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
Qué pasó
PHP es el lenguaje con el que funcionan WordPress, Joomla, Drupal y gran parte de los sitios web del mundo. Esta semana se conocieron dos fallas en el propio PHP, no en un plugin ni en un tema:
- CVE-2026-109618: un problema de manejo de memoria. Cuando PHP se queda sin memoria a mitad de una petición, puede dejar datos a medio preparar que luego trata como válidos.
- CVE-2026-109619: información de una visita puede quedar «viva» en el servidor y ser usada por la siguiente petición.
Las dos tienen una calificación de 9,2 sobre 10 en gravedad. Según Wiz Research, que investigó el caso, se puede tomar control de un WordPress recién instalado y también leer de la memoria del servidor datos como contraseñas o claves de acceso.
Lo que hizo esto más delicado: los detalles se filtraron el 20 de octubre, un día antes del parche oficial, y Cloudflare y Patchstack reportaron intentos de ataque antes de que existiera la corrección. Por eso algunas instituciones en Europa prefirieron desconectar sus sitios por unas horas.
A quién afecta
A cualquier sitio que funcione con PHP, sin importar si está al día en WordPress. El riesgo es mayor en servidores que usan Apache con mod_php, pero también afecta a PHP-FPM, LiteSpeed, php-cgi y FrankenPHP.
Un caso que preocupa: los sitios con PHP 8.1 o anterior. Esas versiones ya no reciben actualizaciones oficiales, así que dependen de que el hosting aplique un parche por su cuenta o de migrar a una versión con soporte.
Cómo saber si tu web está expuesta
- Entra a tu WordPress y ve a Herramientas > Salud del sitio > Información > Servidor. Ahí verás la versión de PHP.
- Si ves 8.5.12, 8.4.27, 8.3.36, 8.2.35 o superior, tu PHP ya tiene el parche.
- Si ves una versión menor, pregúntale a tu hosting si ya aplicó la actualización de seguridad del 21 de octubre. Algunos proveedores parchean sin cambiar el número de versión, así que la confirmación tiene que venir de ellos.
- Si tu sitio usa PHP 7.x o 8.0/8.1, pide una migración a una versión con soporte.
Qué no hacer
- No instales plugins que prometan «parchear» PHP. El problema está en el servidor, no en WordPress. Un plugin no lo arregla y puede romper tu sitio.
- No te quedes tranquilo solo con un firewall. Un WAF ayuda mientras llega el parche, pero no lo reemplaza.
- No asumas que todo está bien después de actualizar. El parche cierra la puerta, pero no saca a quien ya pudo haber entrado. Conviene revisar si hay usuarios administradores que no reconoces o archivos modificados.
Cómo lo manejamos en BIM Soluciones
Todas las webs de nuestros clientes están alojadas en servidores administrados de SiteGround. En este caso, SiteGround aplicó reglas de protección en todos sus servidores antes de que saliera el parche oficial y desactivó las funciones afectadas en todas las versiones de PHP que soporta. Para los sitios alojados ahí, no hizo falta que el cliente cambiara nada.
Eso no pasa por casualidad. Es el resultado de cómo trabajamos la seguridad de cada sitio:
- Hosting administrado y no servidores sin control. Elegimos proveedores que vigilan la seguridad del servidor las 24 horas y aplican parches críticos por su cuenta. Cuando aparece una falla como esta, la protección llega a nivel de servidor, no depende de que alguien se acuerde de actualizar.
- Versiones de PHP con soporte. No dejamos sitios en versiones viejas de PHP. Una web en PHP 7.4 hoy es una web sin parches oficiales.
- Mantenimiento profundo y soporte del servidor. Nuestro equipo revisa a fondo la estructura de cada sitio, y el servidor cuenta con soporte técnico permanente. En los sitios que lo requieren sumamos un firewall adicional como Sucuri, y todos tienen certificado SSL.
- Respaldos cada 24 horas. Si algo sale mal, podemos devolver el sitio a la versión del día anterior sin perder el trabajo.
- Actualizaciones controladas de WordPress, temas y plugins dentro del plan de mantenimiento, probando que el sitio siga funcionando.
- Revisión después del incidente. Esta semana, después del parche, revisamos los sitios de nuestros clientes para confirmar que todo siga funcionando correctamente.
Un sitio web no es solo diseño. Es la puerta de entrada de tu negocio en Google, y si lo hackean, además del daño directo, Google puede marcarlo como peligroso y hacerte perder el posicionamiento que tanto costó ganar.
Preguntas frecuentes
¿Tengo que actualizar WordPress por PHP2Shell?
No. La falla está en PHP, no en WordPress. Debes mantener WordPress al día por otras razones, pero para esta falla lo que se actualiza es PHP en el servidor.
¿Qué versiones de PHP corrigen la falla?
PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre de 2026.
¿Mi web está en riesgo si uso un hosting compartido?
Depende de tu proveedor. Algunos aplicaron protecciones antes del parche y otros tardaron más. Pregúntale directamente si ya aplicó la actualización de seguridad del 21 de octubre.
¿Un plugin de seguridad me protege?
No por sí solo. Los plugins trabajan dentro de WordPress y este ataque ocurre antes, en el servidor.
¿Qué hago si mi sitio usa PHP 7.4 u 8.0?
Pide a tu hosting una migración a una versión con soporte (8.2 o superior), revisando antes que tus plugins y tu tema sean compatibles.
Si no sabes cómo está tu web
Si tu sitio no lo administramos nosotros y no sabes en qué versión de PHP está ni quién lo mantiene, escríbenos. Revisamos sin costo la versión de PHP, el hosting y lo básico de seguridad de tu web, y te decimos qué hacer. Escríbenos por WhatsApp
Fuentes: Patchstack, SiteGround, Search Engine Journal, Codeable.
