Esta semana salió una noticia que asustó a muchos dueños de página web: una inteligencia artificial encontró fallas graves en PHP, el lenguaje con el que funciona una gran parte de internet, incluido WordPress. Algunas empresas y gobiernos incluso apagaron sus sitios mientras se actualizaban.
Si su negocio tiene página en WordPress, esto le toca. Le explicamos qué pasó en palabras sencillas, cómo saber si su página está en riesgo y qué hacer hoy.
Qué es PHP y qué es la vulnerabilidad PHP2Shell
PHP es el lenguaje de programación que corre en el servidor de muchísimas páginas. WordPress, WooCommerce, Joomla, Drupal y PrestaShop funcionan con PHP. Usted no lo ve, pero está trabajando cada vez que alguien abre su página.
PHP2Shell es el nombre que le dieron a dos fallas graves de PHP, registradas como CVE-2026-109618 y CVE-2026-109619. Las encontraron empresas de ciberseguridad con ayuda de modelos de inteligencia artificial, y PHP publicó la corrección el 21 de octubre de 2026.
En términos sencillos: con estas fallas, un atacante podría tomar control del servidor sin usuario ni contraseña, o leer de la memoria datos delicados como claves y llaves de acceso. Los investigadores dicen que afecta a versiones de PHP de la última década.
Por qué esta falla es distinta a las de siempre
La mayoría de los problemas de seguridad de WordPress vienen de un plugin viejo o de una contraseña débil. Esta vez no. La falla está en PHP mismo, por debajo de WordPress.
- Actualizar WordPress y los plugins es necesario, pero no corrige esta falla.
- Un plugin de seguridad ayuda a detectar ataques, pero no reemplaza el parche.
- La única corrección completa es que el servidor use una versión de PHP actualizada.
Otra diferencia: la inteligencia artificial hace más fácil encontrar y aprovechar fallas complejas. Por eso conviene actuar rápido, no dentro de un mes.
Cómo saber si su página en WordPress está expuesta
- Averigüe en qué está hecha su página. Si es WordPress, WooCommerce, Joomla, Drupal o PrestaShop, usa PHP.
- Revise la versión de PHP. En el panel de su hosting suele aparecer como «Versión de PHP». En WordPress también se ve en Herramientas → Salud del sitio → Información → Servidor.
- Compárela con las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Si la suya es más vieja que la de su misma rama, está pendiente de actualizar.
- Si usa PHP 8.1 o anterior, esa versión ya no recibe soporte normal. Es momento de subir a una versión vigente, probando antes que la página siga funcionando.
Si no tiene acceso al panel o no sabe quién administra su hosting, ese ya es un problema de seguridad en sí mismo: su página debería estar a su nombre y con accesos que usted controle.
Cómo actualizar PHP y qué hacer hoy, paso a paso
- Escríbale a soporte de su hosting y pregunte: «¿Mi servidor ya tiene el parche de PHP del 21 de octubre de 2026 (PHP2Shell)?».
- Haga un respaldo completo de la página y de la base de datos antes de cambiar nada.
- Actualice PHP a la versión corregida de su rama y revise que la página cargue bien, incluido el carrito o el formulario de contacto.
- Actualice también WordPress, el tema y los plugins, y borre los plugins que ya no usa.
- Cambie las contraseñas del panel de WordPress, del hosting y de la base de datos, y active la verificación en dos pasos.
- Esté atento a señales raras: errores 500 que se repiten, páginas que cambian solas, usuarios administradores que usted no creó o correos de spam saliendo de su dominio. Si ve algo así, siga los pasos de qué hacer si le hackearon la página.
Cómo protegemos las páginas de nuestros clientes
La seguridad no depende de una sola cosa, sino de varias capas. Así trabajamos:
- Nuestro propio sitio no usa PHP. Es una página estática servida por Cloudflare, y nuestros sistemas internos tampoco usan PHP, así que esta falla no los afecta.
- Las páginas de clientes pasan por Cloudflare, una red que filtra ataques antes de que lleguen al servidor y que anunció protecciones para esta falla. Es una capa extra, no un reemplazo del parche.
- En las páginas WordPress revisamos la versión de PHP con el hosting y la actualizamos a la versión corregida, con respaldo previo.
- Firewall y alertas: usamos herramientas que bloquean intentos de acceso y nos avisan de actividad sospechosa.
- Respaldos y actualizaciones: en los planes de mantenimiento web se mantienen al día WordPress, plugins y PHP, y hay respaldos para volver atrás si algo sale mal.
- Todo a nombre del cliente: el dominio, el hosting y los accesos quedan a su nombre, para que nunca dependa de nadie para actuar en una emergencia.
Si quiere entender más sobre cómo se arma un sitio seguro desde el inicio, lo explicamos en seguridad web y SEO.
¿Y si su página la hizo otra persona?
Pásele este artículo a quien se la hizo o a quien le da mantenimiento y pregúntele si ya revisó la versión de PHP. Si no tiene quién se la revise, podemos hacerlo nosotros: verificamos en qué está hecha, qué versión de PHP usa y qué falta actualizar.
¿Quiere una página tan segura como la nuestra?
Nuestro propio sitio no se vio afectado por esta falla porque está hecho para no depender de PHP. Esa misma forma de trabajar se la ofrecemos para su negocio:
- Página moderna sin PHP: un sitio estático servido por Cloudflare, como el nuestro. Carga rápido, ayuda al posicionamiento en Google y no tiene un servidor con PHP que actualizar, así que fallas como PHP2Shell no lo alcanzan.
- Protección incluida: certificado de seguridad (el candado del navegador), Cloudflare delante del sitio y respaldos.
- Si necesita WordPress porque va a editar contenido a diario, se lo hacemos igual de cuidado y lo mantenemos al día con un plan de mantenimiento web: PHP, WordPress y plugins actualizados, firewall y respaldos.
- Todo a su nombre: el dominio, el hosting y los accesos.
Una página web profesional va desde $499 y se puede pagar en 2 o 3 pagos. Vea qué incluye y pídala en páginas web en Costa Rica, o vaya directo a la página web profesional.
Si ya tiene página en WordPress y solo quiere saber si está protegida, empiece con la auditoría web gratis o escríbanos y la revisamos.