PHP2Shell: qué pasó con PHP y cómo saber si tu página está en riesgo

La semana pasada PHP anunció dos fallas de seguridad críticas, y el sábado 24 de octubre un investigador confirmó el primer ataque exitoso: tomó el control de un servidor con una sola petición, sin usuario ni contraseña. Las fallas se llaman PHP2Shell, y PHP está detrás de casi 7 de cada 10 páginas web cuyo lenguaje se conoce, según W3Techs.

Si tu negocio tiene una página en WordPress, una tienda en WooCommerce o un hosting con cPanel, tu página corre PHP y conviene revisar su versión hoy. Las páginas que construimos quedaron fuera del alcance de esta falla, y al final contamos por qué.

Qué es PHP

PHP es un lenguaje de programación que corre en el servidor. En un sitio hecho con WordPress, cada vez que alguien entra, el servidor ejecuta PHP, busca los textos en una base de datos y recién ahí devuelve la página armada.

Ese servidor es una computadora de tu hosting conectada a internet las 24 horas. Una falla en PHP es una falla en la puerta de esa computadora, y alcanza a todo lo que está construido encima: WordPress, Joomla, Drupal, Magento, PrestaShop, WooCommerce y los campus virtuales en Moodle.

Qué es PHP2Shell

PHP2Shell es el nombre de dos fallas, la CVE-2026-109618 y la CVE-2026-109619, que permiten a un atacante ejecutar comandos en el servidor con una petición armada a propósito. En los servidores con Apache y mod_php, el ataque corre antes de que cargue la página, así que los plugins de seguridad de WordPress llegan tarde.

Su gravedad es de 9,2 sobre 10 en CVSS, la escala que usa la industria. Afecta a PHP desde la versión 5.4, de 2012, en todas sus formas de instalación: PHP-FPM, Apache con mod_php, CGI, FrankenPHP y LiteSpeed. Los investigadores que encontraron las fallas mostraron ataques contra WordPress, Drupal, Joomla y Magento, y VirusTotal calcula más de 5,1 millones de servidores con PHP expuestos en internet.

Con el servidor en sus manos, el atacante puede cambiar lo que muestra tu página, mandar a tus visitantes a otro sitio, leer lo que llega por tus formularios o usar tu dominio para mandar correo basura. Cuando Google detecta algo así, muestra un aviso rojo a quien quiera entrar a tu página.

Qué pasó, día por día

Adel Karimi, de Perplexity, registró el ataque del sábado en un servidor trampa, un equipo que se deja expuesto a propósito para estudiar a los atacantes. Marcus Hutchins, investigador de Expel, confirmó el resultado, y BleepingComputer publicó la noticia el lunes 26. Hasta ese día, lo que se había visto eran escaneos y pruebas que fallaban.

Cómo saber si tu página corre PHP

• Mirá con qué está hecha. WordPress, WooCommerce, Joomla, Drupal, Magento, PrestaShop, OpenCart y Moodle corren en PHP.
• Probá la puerta de WordPress. Agregá /wp-login.php al final de tu dirección, por ejemplo tunegocio.com.py/wp-login.php. Si aparece la pantalla para ingresar, tu página está en WordPress y corre PHP.
• Mirá el panel de tu hosting. Si entrás a tu hosting por cPanel, Plesk o DirectAdmin, tu plan trae PHP.
• Preguntale a quien hizo tu página. Es la respuesta más rápida.

Cómo ver qué versión de PHP tenés

En WordPress, entrá al panel y andá a Herramientas, Salud del sitio, pestaña Información, sección Servidor. Ahí figura la versión de PHP. En cPanel, buscá MultiPHP Manager o Seleccionar versión de PHP.

Después compará con esta tabla:

Qué hacer hoy si tu página corre PHP

1. Pedile a tu hosting que confirme la versión. En un hosting compartido, la actualización de PHP está a cargo del proveedor. Abajo te dejamos el mensaje para mandar tal cual.
2. Actualizá PHP, además de WordPress. La falla está en PHP mismo y se corrige solo con la versión nueva de PHP. Actualizar WordPress y los plugins sigue siendo buena práctica para todo lo demás.
3. Si estás en PHP 8.1 o anterior, planificá el cambio de versión. La agencia de ciberseguridad de Estados Unidos, CISA, recomienda sacar de línea los servidores que no se puedan actualizar. Un salto grande de versión puede romper plugins viejos: hacé una copia de seguridad y probá primero en una copia de tu página.
4. Poné Cloudflare adelante mientras tanto. Cloudflare trae reglas contra PHP2Shell desde el 21 de octubre, activas sin configurar nada. Es un filtro mientras actualizás: protege solo el tráfico que pasa por Cloudflare, y el arreglo de fondo sigue siendo el PHP nuevo.
5. Revisá si alguien entró. Las señales más comunes son usuarios administradores que nadie creó, archivos .php nuevos en la carpeta de la página, visitas que terminan en otros sitios y el aviso rojo de Google. Si ves alguna, cambiá todas las contraseñas y pedile a tu hosting que restaure una copia anterior.

El mensaje para tu hosting

La tercera falla

El 23 de octubre PHP avisó de una tercera falla, la CVE-2026-115560, que afecta incluso a las versiones ya corregidas y se arregla en la próxima versión regular. Le pega solo a servidores con una combinación poco común de configuración y código. Mientras tanto, la medida es apagar el seguimiento del progreso de subida de archivos, un cambio de una línea en la configuración de PHP: session.upload_progress.enabled=0.

Por qué nuestras páginas quedaron fuera del alcance de PHP2Shell

Las páginas que construimos se arman de otra forma. Cada página es un archivo terminado, con sus textos y sus imágenes, que se publica en la red de Cloudflare y queda copiado en sus centros de datos. Cuando alguien entra, el centro de datos más cercano entrega ese archivo tal cual, ya armado.

Lo que necesita lógica, como una tienda o una herramienta, corre en Cloudflare Workers, el sistema de Cloudflare para ejecutar código en JavaScript dentro de su propia red. Los productos y los pedidos se guardan en las bases de datos de Cloudflare.

Por eso PHP2Shell se encontró con dos capas de protección.

El ataque necesita un servidor con PHP del otro lado

PHP2Shell funciona cuando la petición llega a un servidor que ejecuta PHP. En nuestras páginas, la petición llega a un centro de datos de Cloudflare que entrega un archivo.

El lunes 26 de octubre revisamos todos los sitios de clientes que tenemos publicados, más builttoclick.com. Todos responden desde la red de Cloudflare, ninguno muestra rastros de PHP en sus respuestas, y en todos la dirección /wp-login.php termina en una página que no existe.

Cloudflare filtra el ataque antes de que llegue

Cloudflare activó sus reglas contra PHP2Shell el 21 de octubre a las 00:02, hora de Paraguay, unas nueve horas antes de que las fallas se hicieran públicas, según su propio informe. Las reglas llegaron solas a todas las páginas de su red.

Es la misma red que está delante de casi uno de cada cuatro sitios web del mundo, según W3Techs. Cloudflare tiene centros de datos en más de 335 ciudades de más de 125 países y bloquea en promedio unos 230.000 millones de amenazas por día. En la guía de hosting en Paraguay contamos cómo medimos la velocidad de esta red desde San Lorenzo.

Si tu página está con nosotros, esta semana no tenés que hacer nada: la seguridad está a cargo de la red, y la página, a cargo nuestro.

¿Hay que dejar WordPress?

WordPress es el sistema más usado del mundo para hacer páginas web, y funciona bien cuando tiene a alguien que se encargue de PHP, el tema, los plugins y las copias de seguridad. Si tu página tiene quien se encargue, esta semana le toca un trabajo extra. Si nadie se encarga, este es un buen momento para decidir quién.

Nosotros elegimos otro camino: páginas web publicadas en la red de Cloudflare, con la seguridad a cargo de la red. Si tu página está hoy en WordPress, armamos una nueva con tus textos y tus fotos.