Blog

PHP2Shell: cómo saber si tu web o tu servidor están protegidos (y actualizar sin sustos)

25 de octubre de 2026 · Telyred

El 21 de octubre de 2026 se publicaron dos fallos de seguridad en PHP, el lenguaje en el que funcionan WordPress, la mayoría de tiendas online y muchos programas de gestión. Se les conoce como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), están calificados como críticos (9,2 sobre 10) y permiten a un atacante ejecutar código en el servidor sin necesidad de usuario ni contraseña. Y ya se han visto ataques reales aprovechándolos.

Si tu negocio tiene una web, una tienda o cualquier programa en PHP, esto te afecta. Aquí va cómo comprobarlo y cómo actualizar, con lo que nos pasó al hacerlo en nuestra propia centralita.

Qué versiones están corregidas

Cualquier versión de PHP anterior a estas es vulnerable:

Y una cosa importante: no hay ningún ajuste de configuración que lo evite. La única solución es actualizar.

Si tu web está en un hosting

En la mayoría de casos, el proveedor actualiza PHP por ti, pero conviene comprobarlo:

• Entra en el panel de tu hosting y busca el apartado de versión de PHP. Te dirá qué rama usas (8.2, 8.3…). Si el proveedor ha publicado un aviso sobre PHP2Shell, te dirá si ya lo ha aplicado.
• Si tu web usa PHP 8.1 o anterior, es el momento de subir de versión: esas ramas ya no reciben correcciones oficiales. Antes, haz una copia de seguridad y comprueba que tus plugins son compatibles.
• Si no estás seguro, pregúntale directamente al soporte del hosting: "¿Mi plan tiene ya PHP corregido contra CVE-2026-109618?". Es una pregunta que esperan estos días.

Si tienes tu propio servidor

Comprueba la versión que tienes:

php -v

Ojo: esa orden te dice la versión de la línea de comandos. Si tienes varias versiones instaladas, mira las que usa la web (en Debian y Ubuntu, las carpetas de /etc/php/ te dicen cuáles hay). En Debian 12, la versión corregida de PHP 8.2 es la 8.2.35-1~deb12u1; puedes comprobarla con:

dpkg -l php8.2-common

Y si usas contenedores Docker con una imagen de PHP, no basta con actualizar el servidor: hay que descargar la imagen nueva y volver a crear el contenedor.

Cómo actualizar sin sustos: lo que hicimos nosotros

Nuestra centralita FreePBX funciona sobre Debian 12 con PHP 8.2. Estos son los pasos que seguimos y lo que aprendimos:

1. Copia antes de tocar nada. Si el servidor es una máquina virtual, una instantánea (snapshot) te permite volver atrás en un minuto. Si no, una copia de seguridad de la web y de la base de datos.
2. Instala solo las actualizaciones de seguridad. En Debian aparecen como security (o oldstable-security, si tu versión ya no es la más reciente: sigue recibiendo parches, no pasa nada). No aproveches para saltar de versión del sistema, por ejemplo de Debian 12 a 13: muchos programas, como FreePBX, están pensados para una versión concreta.
3. Reinicia lo que use PHP. Al actualizar, el servidor web (Apache o PHP-FPM) sigue con la versión vieja cargada en memoria hasta que se reinicia. A nosotros nos pasó: tras actualizar, la web de administración de FreePBX mostró un error raro (Undefined constant PDO::MYSQL_ATTR_INIT_COMMAND) porque Apache seguía con PHP antiguo mientras los módulos ya eran los nuevos. Con sudo systemctl restart apache2 (o php8.2-fpm) se arregla.
4. Si se actualiza el núcleo de Linux, reinicia el servidor, en un momento tranquilo. Hasta que no reinicias, sigue funcionando con el núcleo antiguo.
5. Comprueba después que la versión es la buena (php -v), que la web carga y que lo importante funciona. En nuestro caso, una llamada de prueba a la centralita.

Lo que de verdad protege: no exponer lo que no hace falta

Nuestra centralita solo es accesible desde la red de la oficina; su web de administración nunca ha estado abierta a internet. Por eso, aunque había que actualizar igual, el riesgo real era bajo. Es la mejor lección de estos casos: las páginas de administración, los paneles y los programas internos no deberían estar publicados en internet. Si necesitas entrar desde fuera, mejor por una VPN, como contamos en cómo encender y usar el ordenador de la oficina a distancia.

Y para no depender de enterarte por las noticias: activa las actualizaciones automáticas de seguridad (en Debian y Ubuntu, el paquete unattended-upgrades) o revisa las actualizaciones pendientes al menos una vez por semana.

¿Lo revisamos por ti?

Mantener al día los servidores, las webs y los equipos de la oficina es parte de nuestro mantenimiento informático para pymes y autónomos en la Comunidad de Madrid y Castilla-La Mancha. Si no sabes si tu web o tu servidor están afectados, escríbenos y lo comprobamos.