{"id":261,"date":"2026-10-21T18:53:40","date_gmt":"2026-10-21T21:53:40","guid":{"rendered":"https:\/\/altahosting.cl\/blog\/php2shell-vulnerabilidad-php-que-hacer\/"},"modified":"2026-10-21T18:53:40","modified_gmt":"2026-10-21T21:53:40","slug":"php2shell-vulnerabilidad-php-que-hacer","status":"publish","type":"post","link":"https:\/\/altahosting.cl\/blog\/php2shell-vulnerabilidad-php-que-hacer\/","title":{"rendered":"php2shell: la falla cr\u00edtica de PHP del 21 de octubre y qu\u00e9 revisar hoy en tu sitio"},"content":{"rendered":"<p>El 21 de octubre de 2026 el proyecto PHP public\u00f3 una actualizaci\u00f3n de emergencia para dos fallas cr\u00edticas que permiten a un atacante <strong>ejecutar c\u00f3digo en el servidor sin usuario, sin contrase\u00f1a y sin que nadie haga clic en nada<\/strong>. Se las conoce como <strong>php2shell<\/strong> (CVE-2026-109618 y CVE-2026-109619). Las versiones corregidas son <strong>8.5.12, 8.4.27, 8.3.36 y 8.2.35<\/strong>. Si tu sitio corre PHP 8.1 o una versi\u00f3n m\u00e1s antigua, el proyecto PHP no public\u00f3 una versi\u00f3n corregida para ti.<\/p>\n<p>Si tienes un WordPress, una tienda WooCommerce o cualquier sitio hecho en PHP, esto te toca. Te explicamos qu\u00e9 pas\u00f3, c\u00f3mo saber si tu sitio est\u00e1 expuesto y qu\u00e9 hacer hoy, sin tecnicismos de m\u00e1s.<\/p>\n<h2>Qu\u00e9 pas\u00f3 el 21 de octubre<\/h2>\n<p>PHP es el lenguaje en el que funcionan WordPress, Joomla, Drupal, Moodle, Magento y la gran mayor\u00eda de los sitios administrables que existen. Cuando la falla est\u00e1 en PHP mismo, y no en un plugin o un tema, no importa qu\u00e9 tan cuidado est\u00e9 tu sitio: el problema est\u00e1 en el motor que lo hace funcionar.<\/p>\n<p>Eso es lo que pas\u00f3 esta vez. Las dos fallas est\u00e1n en la forma en que PHP maneja la memoria al recibir datos de un formulario. Un atacante puede enviar una petici\u00f3n preparada a cualquier p\u00e1gina que procese PHP y, en las condiciones adecuadas, tomar el control de lo que el servidor ejecuta.<\/p>\n<p>Los avisos oficiales las califican con <strong>9,2 sobre 10<\/strong> en la escala de gravedad CVSS. Y seg\u00fan la empresa de seguridad Sansec, el c\u00f3digo vulnerable existe desde PHP 5.4, una versi\u00f3n de 2012: son catorce a\u00f1os de sitios web.<\/p>\n<h2>Por qu\u00e9 esta es m\u00e1s seria que las fallas de siempre<\/h2>\n<p>Todos los meses aparecen vulnerabilidades en plugins de WordPress. Casi siempre afectan a un plugin que quiz\u00e1s no tienes, o necesitan que el atacante ya tenga una cuenta en tu sitio. Esta no:<\/p>\n<ul>\n<li><strong>No depende de tus plugins ni de tu tema.<\/strong> Est\u00e1 en PHP, debajo de todo lo dem\u00e1s.<\/li>\n<li><strong>No necesita credenciales.<\/strong> El atacante no tiene que iniciar sesi\u00f3n ni robarle la clave a nadie.<\/li>\n<li><strong>Funciona con la configuraci\u00f3n por defecto.<\/strong> Los investigadores demostraron la ejecuci\u00f3n remota de c\u00f3digo en WordPress 7.1.2, Drupal, Joomla, Magento y otras aplicaciones conocidas.<\/li>\n<li><strong>Los ataques empezaron antes que el parche.<\/strong> Seg\u00fan Sansec, Cloudflare detect\u00f3 los primeros intentos a las 04:43 de la madrugada en Chile, m\u00e1s de seis horas antes de que PHP publicara la correcci\u00f3n, a las 11:00.<\/li>\n<\/ul>\n<p>Un dato para no exagerar: al momento de publicarse los avisos, el equipo de seguridad de PHP revis\u00f3 los c\u00f3digos de ataque que circulaban y no encontr\u00f3 uno que funcionara de verdad. Eso puede cambiar en d\u00edas, como pas\u00f3 en julio con <a href=\"https:\/\/altahosting.cl\/blog\/wp2shell-actualizacion-forzada-wordpress-chile\/\">wp2shell y la actualizaci\u00f3n forzada de WordPress<\/a>, as\u00ed que el momento de actuar es ahora y no cuando aparezca en las noticias.<\/p>\n<h2>Qu\u00e9 versiones de PHP est\u00e1n corregidas y cu\u00e1les no<\/h2>\n<p>Esta es la tabla que conviene tener a mano para revisar tu sitio:<\/p>\n<table style=\"width:100%;border-collapse:collapse;margin:1.5em 0;font-size:0.95em\">\n<thead>\n<tr>\n<th style=\"border:1px solid #ddd;padding:10px;background:#f4f6f8;text-align:left\">Versi\u00f3n de PHP<\/th>\n<th style=\"border:1px solid #ddd;padding:10px;background:#f4f6f8;text-align:left\">\u00bfHay versi\u00f3n corregida del proyecto PHP?<\/th>\n<th style=\"border:1px solid #ddd;padding:10px;background:#f4f6f8;text-align:left\">Qu\u00e9 hacer<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"border:1px solid #ddd;padding:10px\">8.5<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">S\u00ed: 8.5.12<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">Actualizar a 8.5.12 o superior<\/td>\n<\/tr>\n<tr>\n<td style=\"border:1px solid #ddd;padding:10px\">8.4<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">S\u00ed: 8.4.27<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">Actualizar a 8.4.27 o superior<\/td>\n<\/tr>\n<tr>\n<td style=\"border:1px solid #ddd;padding:10px\">8.3<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">S\u00ed: 8.3.36<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">Actualizar a 8.3.36 o superior<\/td>\n<\/tr>\n<tr>\n<td style=\"border:1px solid #ddd;padding:10px\">8.2<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">S\u00ed: 8.2.35<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">Actualizar, y planificar el salto a 8.3 o 8.4: la 8.2 deja de recibir parches el 31 de diciembre de 2026<\/td>\n<\/tr>\n<tr>\n<td style=\"border:1px solid #ddd;padding:10px\">8.1, 8.0 y 7.4<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">No. Solo un parche de c\u00f3digo fuente para quien compila PHP por su cuenta<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">Cambiar a una versi\u00f3n con soporte<\/td>\n<\/tr>\n<tr>\n<td style=\"border:1px solid #ddd;padding:10px\">7.3 o anterior<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">No<\/td>\n<td style=\"border:1px solid #ddd;padding:10px\">Cambiar a una versi\u00f3n con soporte; si el sitio no lo resiste, hay que revisarlo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Algunas distribuciones de Linux y empresas de soporte extendido entregan correcciones para versiones antiguas por su cuenta, pero llegan m\u00e1s tarde, no siempre cubren todas las versiones y no dependen de ti. Quedarse en una versi\u00f3n vieja confiando en que alguien la parche es apostar con tu sitio.<\/p>\n<h2>C\u00f3mo saber qu\u00e9 versi\u00f3n de PHP usa tu sitio<\/h2>\n<p>Hay dos caminos, y ninguno toma m\u00e1s de dos minutos.<\/p>\n<p><strong>Desde WordPress:<\/strong> entra al escritorio y ve a Herramientas \u2192 Salud del sitio \u2192 pesta\u00f1a Informaci\u00f3n \u2192 secci\u00f3n Servidor. Ah\u00ed aparece la versi\u00f3n de PHP.<\/p>\n<p><strong>Desde cPanel:<\/strong> busca la herramienta para seleccionar la versi\u00f3n de PHP (seg\u00fan el servidor se llama \u00abSeleccionar versi\u00f3n de PHP\u00bb o \u00abMultiPHP Manager\u00bb). Ah\u00ed ves qu\u00e9 versi\u00f3n usa cada dominio y puedes cambiarla.<\/p>\n<p>Un detalle importante: lo que eliges en el panel es la <em>rama<\/em> (8.3, 8.4\u2026), no el n\u00famero fino. Que la rama est\u00e9 al d\u00eda con la \u00faltima correcci\u00f3n es trabajo del proveedor del servidor, no tuyo. Lo tuyo es no estar en una rama que ya nadie corrige. Si quieres profundizar en esto, tenemos una gu\u00eda completa sobre <a href=\"https:\/\/altahosting.cl\/blog\/version-php-wordpress-chile\/\">qu\u00e9 versi\u00f3n de PHP corre tu sitio y por qu\u00e9 importa<\/a>.<\/p>\n<h2>Qu\u00e9 hacer hoy, seg\u00fan tu caso<\/h2>\n<p><strong>Si tu sitio est\u00e1 en PHP 8.2 o superior:<\/strong> la correcci\u00f3n depende del servidor. Si tienes hosting compartido, preg\u00fantale a tu proveedor si ya instal\u00f3 las versiones corregidas. Es una pregunta leg\u00edtima y la respuesta deber\u00eda ser clara. Si tienes un VPS o servidor propio, actualiza PHP hoy y reinicia los procesos de PHP para que el cambio tome efecto.<\/p>\n<p><strong>Si tu sitio est\u00e1 en PHP 8.1, 8.0, 7.4 o anterior:<\/strong> este es el caso que m\u00e1s preocupa, porque no hay versi\u00f3n corregida del proyecto PHP para tu rama. El camino es subir a 8.3 o 8.4. Antes de hacerlo, saca un respaldo completo, actualiza WordPress, los plugins y el tema, y reci\u00e9n despu\u00e9s cambia la versi\u00f3n. Si algo se rompe, puedes volver a la versi\u00f3n anterior mientras se arregla, pero no te quedes ah\u00ed.<\/p>\n<p><strong>Si tienes una tienda o un sitio con formularios:<\/strong> despu\u00e9s de cualquier cambio, prueba lo que de verdad usas: un pedido de prueba, el formulario de contacto, el inicio de sesi\u00f3n y la recuperaci\u00f3n de contrase\u00f1a. Los problemas aparecen en la parte que nadie mira todos los d\u00edas.<\/p>\n<h2>Lo que la actualizaci\u00f3n no arregla<\/h2>\n<p>Actualizar PHP te protege desde ahora. No deshace lo que haya pasado antes.<\/p>\n<p>Como los ataques empezaron antes del parche, vale la pena una revisi\u00f3n r\u00e1pida: que no haya usuarios administradores que no reconozcas, que no aparezcan p\u00e1ginas o contenido que no escribiste y que Google no muestre p\u00e1ginas extra\u00f1as al buscar <code>site:tudominio.cl<\/code>. Si algo no cuadra, revisa nuestra gu\u00eda de <a href=\"https:\/\/altahosting.cl\/blog\/wordpress-hackeado-chile-senales\/\">se\u00f1ales de un WordPress hackeado<\/a>.<\/p>\n<p>Y revisa tus respaldos: de qu\u00e9 fecha es el m\u00e1s antiguo que tienes y si alguna vez probaste restaurarlo. Un respaldo que nunca se prob\u00f3 es una esperanza, no un respaldo. Ac\u00e1 explicamos <a href=\"https:\/\/altahosting.cl\/blog\/backup-sitio-web-chile\/\">c\u00f3mo hacer y verificar respaldos de tu sitio<\/a>.<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<h3>\u00bfUn plugin de seguridad me protege de php2shell?<\/h3>\n<p>No. La falla ocurre dentro de PHP antes de que WordPress y sus plugins empiecen a funcionar. La \u00fanica correcci\u00f3n completa, seg\u00fan el propio aviso de PHP, es actualizar.<\/p>\n<h3>\u00bfAfecta a sitios que no son WordPress?<\/h3>\n<p>S\u00ed. Afecta a cualquier sitio que funcione con PHP: Joomla, Drupal, Moodle, Magento, PrestaShop, sistemas hechos a medida y sitios en PHP sin gestor de contenidos.<\/p>\n<h3>\u00bfMi sitio en HTML est\u00e1tico est\u00e1 en riesgo?<\/h3>\n<p>Un sitio que solo entrega archivos HTML, sin PHP, no ejecuta el c\u00f3digo vulnerable. Pero si en la misma cuenta tienes un formulario en PHP, un blog o un instalador viejo olvidado, esa parte s\u00ed cuenta.<\/p>\n<h3>\u00bfCambiar la versi\u00f3n de PHP me puede romper el sitio?<\/h3>\n<p>Puede pasar si un plugin o el tema llevan a\u00f1os sin actualizarse. Por eso se respalda y se actualiza todo antes. Un plugin que no funciona con PHP 8.3 en 2026 es una se\u00f1al de que hay que reemplazarlo.<\/p>\n<h2>En resumen<\/h2>\n<p>php2shell es una falla del motor, no de tu sitio, y se corrige actualizando PHP. Si est\u00e1s en 8.2 o superior, aseg\u00farate de que tu servidor ya tenga la versi\u00f3n corregida. Si est\u00e1s en 8.1 o anterior, esta es la se\u00f1al que faltaba para subir de versi\u00f3n.<\/p>\n<p><strong>En AltaHosting ya estamos actualizando nuestros servidores.<\/strong> Algunos ya funcionan con las versiones corregidas y en el resto nuestros ingenieros est\u00e1n en ese proceso.<\/p>\n<p><strong>\u00bfNo sabes qu\u00e9 versi\u00f3n de PHP usa tu sitio o te da miedo cambiarla?<\/strong> Escr\u00edbenos por WhatsApp o a ventas@altahosting.cl y lo revisamos contigo: la versi\u00f3n que usa, si tus plugins y tu tema aguantan el cambio, y en qu\u00e9 estado est\u00e1n tus respaldos.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>El 21 de octubre de 2026 el proyecto PHP public\u00f3 una actualizaci\u00f3n de emergencia para dos fallas cr\u00edticas que permiten [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"pagelayer_contact_templates":[],"_pagelayer_content":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_analysis_target_kw":"","_siteseo_titles_title":"php2shell: la falla cr\u00edtica de PHP y qu\u00e9 revisar en tu sitio","_siteseo_titles_desc":"PHP public\u00f3 8.5.12, 8.4.27, 8.3.36 y 8.2.35 contra dos fallas cr\u00edticas sin parche para 8.1 o anteriores. C\u00f3mo saber tu versi\u00f3n y qu\u00e9 hacer hoy.","_siteseo_analysis_target_kw":"php2shell, vulnerabilidad php, CVE-2026-109618, actualizar php wordpress","_ah_schema_faq":"","_ah_schema_planes":"","footnotes":""},"categories":[15],"tags":[],"class_list":["post-261","post","type-post","status-publish","format-standard","hentry","category-seguridad-web"],"_links":{"self":[{"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/posts\/261","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/comments?post=261"}],"version-history":[{"count":0,"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/posts\/261\/revisions"}],"wp:attachment":[{"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/media?parent=261"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/categories?post=261"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/altahosting.cl\/blog\/wp-json\/wp\/v2\/tags?post=261"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}