PHP2Shell: qué pasó con PHP y qué hacer con tu web

En resumen: el 21 de octubre de 2026 se publicó una actualización de urgencia de PHP, el lenguaje con el que funciona la mayoría de las páginas web del mundo, incluidas todas las hechas con WordPress. Se descubrieron dos fallas graves, apodadas PHP2Shell, que permiten a un atacante tomar el control de un sitio sin usuario ni contraseña. Si tu web está en un hosting compartido conocido, lo más probable es que tu proveedor ya lo haya resuelto, pero conviene confirmarlo. Si tenés un servidor propio (un VPS) o una versión vieja de PHP, tenés que actuar vos. Abajo te explico todo en simple, punto por punto.

Qué pasó con PHP, explicado fácil

PHP es el "motor" que hace funcionar millones de páginas web: el que arma la página cuando alguien entra, procesa los formularios y guarda los pedidos de una tienda. Según estimaciones de Wiz Research citadas por Newsweek, PHP está detrás de alrededor del 70% de los sitios del mundo.

Esta semana se supo que ese motor tenía dos fallas graves. Pensalo como una cerradura que, si le hacés un movimiento muy específico, se abre sin llave. Un atacante podía mandarle a tu web un pedido armado de cierta forma y lograr ejecutar sus propias órdenes en el servidor. Sin usuario, sin contraseña.

Lo que puede pasar si alguien lo aprovecha en tu sitio:

• Te llenan la web de enlaces de spam o la redirigen a páginas de estafas.
• Te roban datos: clientes, pedidos, contraseñas guardadas.
• Usan tu servidor para mandar spam o atacar a otros, y tu hosting te suspende la cuenta.

La gravedad oficial es de 9,2 sobre 10. El equipo de PHP publicó las versiones corregidas el 21 de octubre, un día antes de lo previsto, porque los detalles se filtraron en redes sociales y ya había gente intentando aprovecharlos. La agencia de ciberseguridad de Estados Unidos (CISA) pidió actualizar de inmediato y, si no se puede, desconectar el sitio hasta poder hacerlo.

¿Mi página web usa PHP?

Respuesta rápida según cómo está hecha tu web:

• WordPress o WooCommerce: sí, siempre. Todo WordPress funciona con PHP.
• Joomla, Drupal, PrestaShop, Magento, Moodle: sí.
• Sistemas hechos a medida en Laravel o "PHP puro": sí. Si no sabés con qué se hizo, preguntale a quien la desarrolló.
• Wix, Shopify, Squarespace: vos no administrás PHP; si hubiera algo que corregir, lo hace la plataforma. No tenés que hacer nada.
• Webs estáticas o hechas con Next.js y publicadas en Vercel o Netlify: en general no usan PHP, así que esta falla no las toca.

Ojo con un detalle: aunque tu web principal no use PHP, puede que tengas algo viejo que sí lo use. Un blog de hace años en un subdominio, un panel de reservas, un webmail. Esos también cuentan.

Qué te toca hacer según dónde está alojada tu web

Acá está lo más importante. La falla está en el servidor, no en tu WordPress, así que quién tiene que arreglarla depende de quién administra ese servidor.

Hosting compartido (el plan común de Hostinger, GoDaddy, SiteGround, Namecheap…)

Lo arregla tu proveedor. La mayoría de los grandes ya lo hizo entre el 21 y el 22 de octubre. Por ejemplo, Hostinger completó la actualización en todos sus planes excepto VPS, y SiteGround dice que sus clientes no tienen que hacer nada. Si tu proveedor es más chico o local y no publicó nada, escribile y preguntá (más abajo te dejo un mensaje modelo).

WordPress administrado (WP Engine, Kinsta, WordPress.com, Pressable)

Ya está resuelto. Estos servicios se encargan de todo el servidor y confirmaron que aplicaron la corrección. No tenés que tocar nada.

Servidor propio o VPS (DigitalOcean, AWS Lightsail, el VPS de Hostinger o GoDaddy)

Te toca a vos o a tu técnico. En un VPS el proveedor te alquila la máquina, pero lo que corre adentro es tu responsabilidad. Hostinger, GoDaddy y DigitalOcean lo aclararon: sus clientes de VPS tienen que actualizar por su cuenta. En AWS Lightsail ni siquiera se puede actualizar en el lugar: hay que recrear el servidor desde una imagen nueva, según un seguimiento del estado de los proveedores. Si no sabés si tenés un VPS, mirá tu factura: si dice "VPS", "servidor virtual", "Droplet" o "dedicado", es tu caso.

Si tu web la mantiene una agencia o un freelancer

Escribile hoy. No des por hecho que ya lo vio. Preguntá dónde está alojada, qué versión de PHP usa y si ya está actualizada.

Si tu web usa una versión vieja de PHP (7.4, 8.0 u 8.1)

Es el caso más delicado. PHP ya no publica versiones oficiales para esas ramas. Algunos hostings aplicaron igual una corrección "por debajo", pero no todos. La recomendación general es pasar a PHP 8.3 o más nuevo. La 8.2 también está corregida, pero deja de recibir soporte el 31 de diciembre de 2026, así que te conviene saltarla.

Qué hacer hoy: 6 pasos

1. Averiguá dónde está alojada tu web y si es un plan compartido o un VPS. Buscá en tu mail la factura del hosting.
2. Mirá tu versión de PHP. En WordPress: Herramientas → Salud del sitio → Información → Servidor. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35 o más nuevas.
3. No te asustes si el número no cambió. Cuando el hosting corrige una versión vieja "por debajo", el número sigue igual. Lo que cambia es la fecha de compilación: si es del 21 de octubre de 2026 o posterior, está corregida. En Hostinger, por ejemplo, la ves en Sitios web → Panel → PHP Info.
4. Si tenés dudas, preguntale al hosting. Copiá y pegá esto en el soporte:
   "Hola, quiero confirmar si mi plan ya tiene aplicada la corrección de PHP2Shell (CVE-2026-109618 y CVE-2026-109619). ¿Qué versión de PHP uso y desde qué fecha está actualizada?"
5. Actualizar WordPress y los plugins está bien, pero no alcanza. La falla es del motor, no del WordPress. Podés tener todo al día y seguir expuesto si el PHP del servidor no se corrigió.
6. Sumá una capa de protección gratis. Cloudflare empezó a bloquear estos ataques horas antes del anuncio oficial, incluso en su plan gratuito. No reemplaza la actualización, pero ayuda mientras tanto.

Problemas que te pueden aparecer esta semana

Algunos inconvenientes no vienen del ataque, sino del arreglo. Para que no te tomen por sorpresa:

Tu web estuvo caída un rato

Muchos proveedores hicieron mantenimiento de urgencia. Incluso gobiernos de Países Bajos y Finlandia apagaron sus sitios por precaución hasta actualizarlos. Si tu web se cayó unos minutos el 21 o 22 de octubre, probablemente fue eso.

Después de actualizar PHP, la web muestra error o pantalla en blanco

Pasa si saltaste de una versión vieja (7.4, 8.0) a una nueva y algún plugin o tema es muy antiguo. No vuelvas a la versión vieja: desactivá el plugin que falla o pedí ayuda para reemplazarlo. Algunos hostings tienen un botón para volver atrás automáticamente si algo se rompe.

No podés subir archivos o la barra de carga desapareció

Para protegerse, varios proveedores desactivaron una función que muestra el progreso de las subidas y bajaron los tamaños máximos permitidos. Si un formulario que recibía archivos grandes ahora falla, consultá con tu hosting.

Un formulario o pago legítimo aparece bloqueado

Los filtros de seguridad que se activaron esta semana a veces bloquean pedidos normales por error. Si tus clientes reportan que algo dejó de andar, avisale a tu proveedor: puede ajustar la regla.

Señales de que alguien entró antes del arreglo

• Tu web redirige a sitios raros, sobre todo desde el celular.
• Aparecen usuarios administradores que no creaste.
• Google muestra "Este sitio puede estar hackeado" o Chrome avisa que es peligroso.
• El hosting te avisa que tu cuenta manda spam o consume recursos de más.

Si ves alguna, pedí ayuda profesional: restaurar desde una copia de seguridad limpia, cambiar todas las contraseñas (hosting, WordPress, base de datos, mail) y revisar el servidor. Cambiar las contraseñas solo no alcanza si quedó una "puerta trasera" instalada.

La tercera falla del 23 de octubre

Dos días después, PHP publicó un aviso sobre una tercera falla. La buena noticia: solo afecta a sitios configurados de una forma poco común, y la medida para frenarla es la misma que muchos hostings ya habían aplicado el 21. La corrección definitiva llega en la próxima versión normal de PHP. Si estás en un hosting compartido, en general ya estás cubierto; si tenés VPS, tu técnico tiene que aplicar esa configuración.

Por qué hizo tanto ruido

• Por el tamaño: afecta a casi todas las versiones de PHP de los últimos años, y PHP está en la mayor parte de la web.
• Por la filtración: los detalles salieron antes de que el arreglo estuviera listo, y los ataques empezaron casi en simultáneo.
• Por cómo se descubrió: las fallas las encontraron equipos de seguridad usando inteligencia artificial, algo que va a ser cada vez más común. Lo que antes tardaba meses en encontrarse, ahora puede aparecer en días, para bien y para mal.

La lección para un negocio no es técnica: tenés que saber dónde está tu web, quién la mantiene y cómo contactarlo rápido. Muchos dueños de negocio descubrieron esta semana que no tenían ni idea.

Mi caso: por qué este sitio no se vio afectado

Este sitio está hecho con Next.js y publicado en Netlify como páginas ya armadas, así que no depende de un PHP que yo tenga que mantener. No es que una tecnología sea "mejor" que otra para todo, pero sí es una diferencia real cuando pasa algo así: menos piezas expuestas, menos cosas que actualizar de urgencia. Si estás evaluando cómo armar tu próxima web, lo comparé en detalle en Next.js vs WordPress para negocios. WordPress sigue siendo una buena opción para muchos casos; solo necesita que alguien se ocupe del mantenimiento.

Y si querés una revisión rápida, sumé un chequeo de PHP2Shell a mi análisis de seguridad web gratis. Pegás tu URL y te dice si tu web usa PHP, si el servidor muestra una versión vieja o sin soporte, y si estás detrás de Cloudflare. Es una revisión desde afuera y sin atacar el sitio: si el servidor oculta su versión (lo normal y recomendable), no puede confirmar si ya está corregido, y en ese caso te dice que se lo preguntes a tu hosting. De paso, te muestra si tu sitio tiene las protecciones básicas bien configuradas.

Preguntas frecuentes

¿Qué es PHP2Shell?

Es el nombre que se le dio a dos fallas graves en PHP, el lenguaje con el que funcionan WordPress y la mayoría de las webs. Permiten que un atacante tome el control de un sitio sin usuario ni contraseña. Se corrigieron el 21 de octubre de 2026.

¿Mi web de WordPress está en riesgo?

Todo WordPress usa PHP, así que hay que confirmar que el servidor esté actualizado. Si estás en un hosting compartido o en un WordPress administrado, lo más probable es que tu proveedor ya lo haya corregido. Si tenés un VPS o un servidor propio, tenés que actualizarlo vos.

¿Alcanza con actualizar WordPress y los plugins?

No. La falla está en PHP, que corre en el servidor, no en WordPress. Podés tener todo actualizado y seguir expuesto si tu hosting no actualizó PHP.

¿Cómo sé si mi hosting ya lo corrigió?

Revisá si la versión de PHP es 8.5.12, 8.4.27, 8.3.36, 8.2.35 o más nueva, o si la fecha de compilación es del 21 de octubre de 2026 en adelante. Si no encontrás el dato, preguntale directamente al soporte de tu hosting.

¿Las webs hechas con Wix o Shopify están afectadas?

No tenés que hacer nada. En esas plataformas vos no administrás el servidor; cualquier corrección necesaria la aplica la propia plataforma.

Para cerrar

Si tu web está en un hosting compartido conocido, lo más probable es que ya estés protegido: confirmalo con una pregunta al soporte y listo. Si tenés un VPS, una versión vieja de PHP o no sabés quién mantiene tu sitio, ese es el punto a resolver esta semana.

Si no sabés por dónde empezar, escribime y lo revisamos juntos.