Fallo de PHP de octubre de 2026 (PHP2Shell): ¿tu web está afectada?

Sí si el servidor no se ha actualizado, sea cual sea la versión de WordPress. El parche está en PHP, no en WordPress ni en un plugin de seguridad. Comprueba la versión de PHP en Herramientas, Salud del sitio, pestaña Información, sección Servidor, y pregunta a tu hosting si no es 8.2.35, 8.3.36, 8.4.27 u 8.5.12.

WordPress, PrestaShop, Joomla, Drupal, Magento, WooCommerce, SPIP, TYPO3 y la mayoría de las webs hechas por una agencia funcionan con PHP. Wix, Squarespace, Shopify, Webflow y Jimdo no. Para una herramienta a medida, pregunta a quien la desarrolló: Laravel y Symfony son PHP; Node.js, Python y .NET no. La herramienta de esta página lee esas señales en tu página de inicio.

En hosting compartido, es el hosting quien instala la nueva versión de PHP en sus servidores, para las ramas 8.2 a 8.5. No tienes nada que instalar, pero debes comprobar en uno o dos días que la versión ha cambiado. Si tu web se quedó en PHP 8.1, 8.0 o 7.x, el hosting no la corregirá: te toca cambiar la versión en cPanel, Plesk o el área de cliente, tras una copia de seguridad y una prueba.

Tres preguntas, por escrito: qué versión de PHP sirve la aplicación, si se ha actualizado desde el 21 de octubre de 2026, y qué registros se han revisado. Una herramienta interna accesible desde internet, aunque tenga contraseña, está expuesta: los fallos actúan antes de la página de acceso. Si el proveedor ya no responde, puedo hacerme cargo del servidor.

El proyecto PHP ya no publica versiones para esas ramas. Dos opciones: instalar el paquete adaptado si tu hosting o tu distribución Linux lo ofrece, o pasar a PHP 8.3 u 8.4. Cambiar de rama exige revisar el CMS, el tema y las extensiones, con copia de seguridad y prueba en una copia. Si no es posible ahora mismo, pon la aplicación fuera de línea o detrás de un cortafuegos de aplicación.

No. Las actualizaciones del CMS no tocan PHP, que funciona por debajo del CMS. Un plugin de seguridad tampoco corrige el fallo: puede bloquear algunas peticiones, no todas. Solo una versión corregida de PHP cierra la puerta.

Mira los registros de acceso del servidor desde el 17 de octubre, fecha del primer intento visto por Amazon: peticiones POST voluminosas de tipo multipart hacia páginas que nunca las reciben son una señal. Busca archivos .php recientes en las carpetas de subida (uploads, cache), cuentas de administrador desconocidas, tareas programadas nuevas. En caso de duda: copia de seguridad, cambio de contraseñas y, si hay datos personales afectados, notificación a la autoridad de protección de datos en 72 horas. A 22 de octubre, Wordfence veía continuar los ataques sin ninguna intrusión conocida por este fallo: tranquilizador, pero no es motivo para esperar.

No para esa web: esos creadores no ejecutan PHP para ti, y su servidor lo mantienen ellos. Revisa en cambio tus otras herramientas: una tienda, una intranet, un software de gestión instalado en un hosting o en un servidor de la empresa quizá funcionen con PHP.

Por este mismo fallo. El 21 de octubre, el Ministerio del Interior francés apagó las webs de las prefecturas a petición de la ANSSI, Météo-France cerró las suyas y parte del portal de impuestos pasó a mantenimiento; el 22 siguieron la CAF, Ameli, la URSSAF y el CNES. No es una avería ni un hackeo anunciado: un mantenimiento preventivo mientras se instala el parche y se comprueba. El 23 de octubre a las 11:40 (hora de París), Météo-France, ameli.fr y urssaf.fr volvían a responder, pero caf.fr, impots.gouv.fr y las webs de las prefecturas seguían en mantenimiento. Tus datos no están en juego: la CAF mantiene sus plazos habituales de declaración, tu espacio de impuestos, particular o profesional, sigue accesible desde los enlaces de conexión de la página de mantenimiento, y para gestiones urgentes, las prefecturas publican en sus redes sociales.

Cuando el parche esté instalado y comprobado, servicio a servicio. Météo-France reabrió el 22 de octubre por la mañana, ameli.fr y urssaf.fr respondían el 23 a las 11:40 (hora de París). A la misma hora, caf.fr, impots.gouv.fr y las webs de las prefecturas seguían mostrando una página de mantenimiento, sin fecha de vuelta anunciada; el Ministerio del Interior habla de «lo antes posible». Tus espacios de impuestos siguen accesibles desde los enlaces de conexión. Esta página se actualizará.

El apodo de los dos fallos CVE-2026-109618 y CVE-2026-109619: una petición web especialmente formada permite ejecutar comandos en el servidor (un «shell») a través de PHP, sin cuenta ni contraseña. No existe un «virus PHP2Shell» que detectar en tu ordenador: es un defecto del propio motor PHP, en el servidor, corregido por las versiones del 21 de octubre de 2026.

Para una web pública apagada por precaución (impuestos, CAF, Ameli, prefectura), no: no se ha anunciado ninguna intrusión. Para tu propia web que siguió en línea sin parche durante el 21 de octubre, sí: cambia las contraseñas de administración (CMS, FTP, base de datos) una vez hecha la actualización. Y desconfía de los correos que dicen venir de tu hosting, de Hacienda o de «la ANSSI» para «verificar tus credenciales»: las estafas siempre siguen a este tipo de noticias.

Lee la página de inicio de tu web una sola vez, como un navegador, con las cabeceras del servidor, y consulta los servidores de nombres del dominio. Reconoce la versión de PHP si se muestra, la plataforma (CMS, creador de webs) y a menudo el hosting. No escanea nada, no envía ninguna carga y no guarda tu dirección más allá de unos minutos de caché. No ve una versión oculta, ni las aplicaciones en otras direcciones, ni un parche adaptado sin cambio de número: en esos casos, solo la respuesta del hosting o el acceso al servidor lo decide.