Alerta PHP2Shell: ¿está protegida tu página web o tienda online?

Dos vulnerabilidades críticas en PHP recuerdan por qué actualizar una web no es solo una cuestión de funcionalidades: también es proteger la actividad de tu empresa.

Tu web puede seguir funcionando con normalidad y, aun así, necesitar una actualización urgente de seguridad. Las vulnerabilidades conocidas como PHP2Shell, publicadas el 21 de octubre de 2026, ponen el foco en un componente esencial de miles de páginas web, tiendas online y aplicaciones empresariales: PHP.

En Seroca creemos que la tecnología debe ayudar a trabajar con tranquilidad. Por eso, ante una alerta de este tipo, lo importante no es generar alarma, sino comprobar qué sistemas están expuestos, aplicar las correcciones adecuadas y planificar el mantenimiento.

Lo esencial: si tu web utiliza PHP, conviene verificar con tu proveedor técnico la versión instalada y si incorpora los parches correspondientes. Tener WordPress, PrestaShop u otra plataforma actualizada no garantiza por sí solo que el motor PHP del servidor también lo esté.

¿Qué ha ocurrido con PHP2Shell?

Se han identificado dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código en determinadas condiciones. Ambas han recibido una puntuación de gravedad de 9,2 sobre 10 (CVSS 4.0).

PHP es una tecnología utilizada por numerosos gestores de contenidos, comercios electrónicos y aplicaciones web. Por eso, el problema no se limita a una marca o plataforma concreta: debe revisarse el entorno donde se ejecuta cada aplicación.

¿Qué consecuencias podría tener para una empresa?

Interrupciones del servicio

Una incidencia de seguridad puede afectar a la disponibilidad de una web, una tienda online o una aplicación de trabajo.

Exposición de información

Una explotación exitosa podría facilitar accesos no autorizados a información o recursos del servidor.

Pérdida de ventas y confianza

Una tienda que deja de funcionar o genera dudas de seguridad puede perjudicar la experiencia del cliente y la actividad comercial.

Recuperaciones costosas

Restaurar servicios, revisar sistemas y gestionar una incidencia suele exigir más esfuerzo que un mantenimiento planificado.

¿Qué versiones deben revisarse?

El proyecto PHP publicó versiones corregidas para las ramas oficialmente soportadas. Las versiones mínimas que incorporan las correcciones de estas dos vulnerabilidades son:

Rama PHP	Versión corregida
8.2	8.2.35 o posterior
8.3	8.3.36 o posterior
8.4	8.4.27 o posterior
8.5	8.5.12 o posterior

¿Y si utilizas PHP 7.3, 7.4, 8.0 o 8.1? Estas ramas ya no reciben soporte oficial del proyecto PHP. Algunos proveedores de alojamiento o sistemas operativos pueden distribuir parches específicos para versiones antiguas, pero hay que verificarlo con el proveedor. A medio plazo, lo recomendable es planificar la migración a una versión soportada.

¿Basta con cambiar la versión de PHP?

No siempre. Una actualización del servidor puede requerir adaptar la aplicación, el tema, los módulos o las integraciones. Subir la versión sin comprobar la compatibilidad puede provocar errores o interrumpir procesos importantes, como pedidos, pagos o formularios.

La solución adecuada combina actualizaciones de seguridad urgentes con una migración controlada cuando la plataforma no es compatible con las versiones modernas de PHP.

Cinco comprobaciones que conviene realizar ahora

Identificar la versión real

Comprobar la versión de PHP que ejecuta la web, no solo la que aparece disponible en el panel de alojamiento.

Verificar los parches

Confirmar que el proveedor ha instalado la corrección aplicable, incluidos los parches específicos de su distribución.

Revisar compatibilidad

Comprobar que WordPress, PrestaShop, módulos y otras aplicaciones funcionarán con la versión de destino.

Proteger la recuperación

Disponer de copias de seguridad recientes y comprobar que pueden restaurarse correctamente.

Y una quinta medida imprescindible: revisar registros y señales de actividad sospechosa, especialmente si la instalación ha estado expuesta sin los parches de seguridad.

La seguridad web no debería depender de una alerta

Una tienda online es una herramienta de negocio. Y, como cualquier otro sistema informático de una empresa, necesita mantenimiento: actualizaciones, revisiones, copias de seguridad y planificación de cambios.

La prevención permite actuar antes de que una incidencia se traduzca en horas de inactividad, pérdida de pedidos o problemas con los clientes. No se trata de actualizar por actualizar, sino de mantener la tecnología fiable, compatible y protegida.

Preguntas frecuentes

¿Mi web está comprometida por utilizar una versión vulnerable?

No necesariamente. Una versión afectada implica exposición potencial, no demuestra que haya existido un ataque. Es necesario revisar la instalación y, cuando proceda, sus registros.

¿PrestaShop y WordPress están afectados?

Las instalaciones que utilizan versiones vulnerables de PHP pueden estar expuestas aunque el software de la tienda o del gestor de contenidos esté actualizado. El impacto concreto depende del servidor y su configuración.

¿Debo actualizar directamente a PHP 8.5?

No necesariamente. Debe elegirse una versión soportada, corregida y compatible con la aplicación. La migración debe probarse antes de aplicarse a producción.

¿Qué hago si mi proveedor indica que PHP 7.4 está «secured»?

Solicita la referencia del parche, su fecha de compilación y la confirmación de que corrige los CVE concretos. Algunos proveedores mantienen versiones antiguas mediante parches propios sin cambiar su numeración.