Martes, 21 de octubre, 14:00 UTC · ilustración
El equipo de seguridad de PHP publica una actualización de emergencia. En los Países Bajos, varios sitios web gubernamentales se desconectan unas horas, por precaución. En EE. UU., CISA, la agencia federal de ciberseguridad, exige actualizar de inmediato. La dueña de una clínica cierra la jornada sin haberse enterado de nada. Su web funciona con PHP 8.1.
A las 17:20 le llega un mensaje: "Acaba de salir una vulnerabilidad crítica en el software con el que funciona tu web. Tu versión ya no recibe actualizaciones normales. La copia de seguridad ya está lista, y probé el cambio a una versión corregida en una copia de tu web. ¿Actualizo esta noche?"
El 21 de octubre de 2026 se dio a conocer una vulnerabilidad grave que afecta a todos los sitios WordPress del mundo. No está en WordPress, sino en PHP, el software sobre el que funciona cualquier web hecha con WordPress. El día del anuncio, casi todas las versiones de PHP desde la 5.4 en adelante eran vulnerables, incluidas todas las que WordPress admite. La vulnerabilidad, bautizada PHP2Shell, permite a un atacante ejecutar código en el servidor de la web sin usuario ni contraseña. En este artículo te contamos qué pasó, cómo comprobar si tu web sigue expuesta y qué habría hecho por ti un agente de IA conectado a tu web antes incluso de que supieras que había un problema.
En resumen
- Qué pasó: dos vulnerabilidades en el propio PHP (CVE-2026-109618 y CVE-2026-109619), con una gravedad de 9.2 sobre 10. Un atacante puede tomar el control del servidor sin iniciar sesión.
- Quién está expuesto: cualquier web que funcione con una versión de PHP sin actualizar, incluidas las hechas con WordPress, Joomla y WooCommerce. Actualizar WordPress o los plugins no corrige la vulnerabilidad.
- Qué hacer: comprobar la versión de PHP. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La 8.1 y las anteriores ya no reciben actualizaciones normales, así que hay que pasar a una versión nueva.
- La lección: el margen entre el anuncio de una vulnerabilidad y los primeros intentos de ataque se mide en horas. Un agente de IA conectado a la web comprueba, hace la copia de seguridad y actualiza en ese plazo, aunque el dueño del negocio no sepa qué es PHP.
Qué es PHP2Shell, en palabras sencillas
Piensa en tu web como en un coche. WordPress, la plantilla y los plugins son la carrocería, el tablero y los asientos: lo que se ve. PHP es el motor que va bajo el capó. Cada vez que alguien entra en tu web, PHP ejecuta el código y construye la página que ve.
PHP2Shell es una avería en el propio motor. El atacante envía a la web una sola petición preparada a propósito, y esa petición deja la memoria de PHP dañada. Desde ahí se puede ejecutar código en el servidor. Según el aviso de PHP, en las instalaciones de tipo mod_php el ataque puede funcionar antes incluso de que se ejecute el código de la web. Es decir, da igual lo actualizado que esté tu WordPress o qué plugin de seguridad hayas instalado: el motor ya está comprometido antes de que entren en acción.
¿Y qué hace un atacante con un servidor que controla? Mete código malicioso en la web, roba datos de clientes, usa el servidor para enviar spam o simplemente lo deja fuera de servicio. Según The Hacker News, la vulnerabilidad también permite leer la memoria del servidor, donde puede haber contraseñas, claves de API y datos de pago de otras peticiones. Incluso sin llegar a tomar el control del servidor.
Fuentes: W3Techs (23/10/2026), aviso de seguridad de PHP (CVSS v4.0), Help Net Security sobre datos de Amazon Threat Intelligence.
Por qué esta vez es más grave que una vulnerabilidad cualquiera
Cada semana se descubren vulnerabilidades. La mayoría están en un plugin o una plantilla concretos, y solo afectan a quien los usa. PHP2Shell es distinta en cuatro cosas:
- Está en la base, no en un plugin. Según PHP, afecta a todas las instalaciones que sirven webs: PHP-FPM, Apache, LiteSpeed y otras. El código defectuoso lleva más de una década en PHP.
- No hace falta contraseña. No se necesita una cuenta en la web, un formulario concreto ni un plugin vulnerable. Basta con una petición desde fuera.
- Los atacantes se adelantaron al parche. Amazon registró un intento de explotación el 17 de octubre, cuatro días antes del anuncio. Se filtraron detalles antes de tiempo, y PHP adelantó el parche un día. El mismo día del anuncio, la empresa watchTowr informó de intentos de explotación activos en cuestión de horas.
- La IA acortó el camino hacia el ataque. Según The Hacker News, los investigadores que descubrieron las vulnerabilidades (Wiz, Calif y el equipo de Codex Security de OpenAI) dijeron que los modelos de IA les ayudaron a convertir el error en un ataque que funciona. Un solo investigador hizo en una semana un trabajo que a un equipo le habría llevado meses. Los atacantes usan las mismas herramientas.
Y hay otro problema, más silencioso. Incluso con el parche publicado, muchas webs no lo van a recibir:
Sitios con PHP según la versión principal
Fuente: W3Techs, 23/10/2026. Las versiones 7 y 5 no tienen parche oficial. PHP publicó correcciones mínimas en código fuente para la 7.4, la 8.0 y la 8.1, pensadas para quien compila PHP por su cuenta. Incluso dentro de PHP 8, solo la 8.2 y posteriores reciben actualizaciones normales.
Más o menos un tercio de los sitios con PHP funcionan con la versión 7 o la 5. En la mayoría de los casos, el dueño del negocio no lo sabe. La web se hizo hace entre cinco y ocho años, funciona, y nadie ha tocado el motor desde entonces.
Ya actualicé WordPress. ¿No basta?
No. Es el error más común que vamos a ver en los próximos días, y The Hacker News lo subraya de forma explícita: actualizar una aplicación como WordPress no actualiza PHP. PHP lo proporciona la empresa de alojamiento, el servidor o el archivo de instalación del servidor.
Actualizar WordPress y los plugins
Se hace desde el panel de administración de la web, con un clic.
- Cierra vulnerabilidades en los plugins y la plantilla
- No toca la versión de PHP
- No protege de PHP2Shell
Actualizar PHP
Se hace en el servidor o en el panel de la empresa de alojamiento.
- Cierra PHP2Shell
- Pasar de una versión principal a otra (por ejemplo, de la 7.4 a la 8.3) puede romper plugins antiguos
- Requiere una copia de seguridad y una prueba previa
La buena noticia: algunas empresas de alojamiento ya se ocuparon del problema. SiteGround, por ejemplo, aseguró que sus clientes están protegidos y no tienen que hacer nada. Pero no pasa con todas las empresas, y menos aún con un servidor privado o un VPS que alguien te configuró hace unos años y del que se olvidó.
Cómo comprobar si tu web está expuesta a la vulnerabilidad de PHP
Repasa la lista. Lleva unos quince minutos y no hace falta saber programar.
Revisión de PHP2Shell para tu web
Si marcaste todo, estás en buena situación. Si te atascaste ya en el primer punto, justo para ese caso escribimos el resto del artículo.
Cómo se ocuparía un agente de IA de PHP2Shell sin que tengas que saber qué es PHP
La mayoría de los dueños de negocio no leen las alertas de CISA. No saben qué versión de PHP tienen, ni tienen por qué saberlo. La dueña de una clínica tiene que atender a sus pacientes, no el motor de su web.
Un agente de IA conectado a la web, al servidor y a la cuenta de alojamiento funciona de otra manera. Ya sabe qué tienes instalado, así que cuando sale una vulnerabilidad no tiene que averiguarlo desde cero. Así sería el día del anuncio. El ejemplo es ilustrativo:
17:05 · Se anuncia la vulnerabilidad
Detecté un aviso de seguridad crítico de PHP. Revisé tu servidor:
- Tu web funciona con PHP 8.1, que ya no recibe actualizaciones normales
- La última copia de seguridad es de anoche. Acabo de hacer otra y comprobé que se abre bien
- Confirmé que las reglas de protección temporales de Cloudflare están activas en tu web
17:20 · Prueba en una copia
Copié tu web a un entorno de pruebas y lo pasé a PHP 8.4.27. La página de inicio, el formulario de contacto y el sistema de citas funcionan. Un plugin antiguo mostró un aviso, y tiene una versión nueva compatible.
✓ Copia de seguridad lista · ✓ Probado en una copia · Esperando tu aprobación
No lo entendí todo, pero si ya lo probaste, actualiza.
23:00 · Hora de poco tráfico en la web
Actualicé el plugin y pasé la web real a PHP 8.4.27. La web estuvo disponible todo el tiempo.
✓ PHP actualizado · ✓ 6 páginas principales revisadas · ✓ Una consulta del formulario llegó al correo
23:40 · Última revisión
Revisé los registros del servidor desde el 17 de octubre. No encontré señales de ningún intento de explotación. Anoté todo lo que se hizo en el registro de la web. Mañana por la mañana vuelvo a comprobar que todo sigue estable.
Ilustración. En una conversación real, el agente adapta las comprobaciones a tu web y solo actúa dentro de los permisos que hayas definido.
Fíjate en lo que hizo la dueña del negocio en toda la historia: leyó dos mensajes y respondió con una frase. No aprendió qué es PHP, no buscó tutoriales ni esperó a que un profesional tuviera un hueco la semana siguiente.
Qué hace el agente por su cuenta y qué espera tu aprobación
Esto se define de antemano, una sola vez. La configuración que recomendamos para las actualizaciones de PHP:
Actualización de seguridad de PHP con un agente de IA
- Detecta y compruebaSigue los avisos de seguridad y comprueba si tu versión es vulnerable. Por su cuenta, en todo momento.
- Hace la copia y prueba en un clonCopia de seguridad completa y, después, la actualización en un entorno de pruebas. Por su cuenta.
- Tu aprobaciónPara pasar de una versión principal a otra. Un parche de seguridad dentro de la misma versión puede quedar aprobado de antemano.
- Actualiza e informaActualización en la web real, nueva revisión y anotación en el registro. Si algo se rompe, se vuelve a la copia de seguridad.
Es decir, si tu web funciona con PHP 8.3.30 y diste aprobación previa a los parches de seguridad dentro de la misma versión, el agente habría actualizado a la 8.3.36 sin preguntar. Tú habrías recibido un solo mensaje después: "Salió una vulnerabilidad crítica, la web está actualizada y todo está revisado". Es justo el escenario en el que la web queda protegida antes de que el dueño del negocio haya oído siquiera la palabra PHP.
Dónde no basta con el agente
- En un alojamiento compartido sin acceso al servidor, el agente no puede actualizar PHP por sí mismo. Puede comprobarlo, cambiar la versión en el panel si tiene acceso a él y escribir a la empresa de alojamiento con la pregunta exacta. Aun así, es mucho más de lo que pasa hoy en la mayoría de los negocios.
- Una web muy antigua con PHP 5, con código hecho a medida, a veces necesita reescribirse en parte. El agente lo detectará y señalará qué se va a romper, pero es trabajo de varios días, no de una noche.
- Un agente no sustituye a un buen alojamiento. Una empresa de alojamiento que aplica los parches por su cuenta es la primera capa de protección. El agente es quien se asegura de que eso pasó de verdad.
Nuestra opinión: todo negocio con una web va a necesitar un agente que se ocupe de esto
PHP2Shell no será la última vulnerabilidad. Lo que ha cambiado es el ritmo.
La vulnerabilidad pasó más de una década escondida en el código. Lo que acortó el camino del error al ataque que funciona fue la IA. Por un lado, los investigadores que la encontraron trabajaron con modelos. Por otro, los intentos de explotación aparecieron antes incluso del anuncio oficial. Cuando un ataque se construye en una semana y se propaga en horas, el dueño de un negocio que se entera de una vulnerabilidad por una noticia dos semanas después ya llega tarde.
Hasta ahora la solución era "alguien que mantiene la web": un profesional freelance, una agencia de diseño web o un familiar que entiende de tecnología. Funcionaba cuando teníamos semanas para reaccionar. No funciona cuando hay que reaccionar un martes por la tarde, cuando todo el mundo ya está en casa.
Creemos que en los próximos años un agente de IA conectado al negocio será algo básico, como la contabilidad. No porque la IA esté de moda, sino porque los atacantes ya trabajan con IA, y la defensa tiene que ir al mismo ritmo. Un agente así no se ocupa solo de PHP. Está conectado a la web, a Google, a las campañas y al contenido, y detecta un problema en cualquiera de ellos. La pregunta no es si los negocios lo van a necesitar, sino cuántas vulnerabilidades tendrán que pasar hasta que lo entiendan.
Preguntas frecuentes
¿Qué es PHP2Shell?
PHP2Shell es el nombre que recibieron dos vulnerabilidades de seguridad críticas de PHP, CVE-2026-109618 y CVE-2026-109619, corregidas el 21 de octubre de 2026. Permiten a un atacante ejecutar código en el servidor de la web sin iniciar sesión, y tienen una gravedad de 9.2 sobre 10. El parche está en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
¿Mi web WordPress está expuesta a la vulnerabilidad de PHP?
Si la web funciona con una versión de PHP que no recibió el parche, sí. WordPress en sí no es vulnerable, pero funciona sobre PHP, y la vulnerabilidad puede actuar antes de que el código de WordPress empiece a trabajar. La versión se ve en Herramientas → Salud del sitio → Información → Servidor, y conviene preguntar a la empresa de alojamiento si el servidor ya tiene el parche.
¿Cómo se actualiza la versión de PHP?
En un alojamiento compartido, el panel suele tener un selector de versión de PHP. En un servidor privado, el paquete de PHP se actualiza con el gestor de paquetes del servidor. Antes de cualquier cambio, se hace una copia de seguridad completa. Pasar de una versión principal a otra, por ejemplo de la 7.4 a la 8.3, puede romper plugins antiguos, así que conviene probar primero en una copia de la web.
¿Y si no puedo actualizar enseguida?
Según PHP, no hay ninguna alternativa completa a la actualización. Hay ajustes que reducen el riesgo, y cortafuegos como Cloudflare añadieron reglas de protección temporales. CISA recomienda desconectar los sistemas que no se puedan actualizar de inmediato. Para la web de un pequeño negocio, el paso práctico es pedir a la empresa de alojamiento que te pase a una versión corregida hoy mismo.
¿Un agente de IA puede actualizar PHP por su cuenta?
Sí, si está conectado al servidor o al panel de alojamiento y tiene permiso. La configuración correcta: detecta, hace la copia de seguridad y prueba por su cuenta, aplica los parches de seguridad dentro de la misma versión si lo aprobaste de antemano, y te pregunta antes de pasar de una versión principal a otra. Cada acción queda anotada en el registro, y siempre hay una copia de seguridad a la que volver.
¿Un agente de IA no es en sí mismo un riesgo de seguridad?
Un agente con acceso al servidor es un actor más con llaves, así que se le da el permiso mínimo, una cuenta propia y su propia clave, no una contraseña compartida. La comparación correcta no es agente frente a riesgo cero, sino agente frente a un servidor que nadie revisa. Una web con un PHP antiguo que nadie toca es un riesgo mucho mayor.
Fuentes
- https://www.php.net/
- https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
- https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws
- https://www.siteground.com/blog/critical-php-vulnerabilities-october-2026
- https://w3techs.com/technologies/details/pl-php
