El 21 de octubre de 2026, el equipo de PHP publicó actualizaciones de emergencia para corregir dos fallas críticas, identificadas como CVE-2026-109618 y CVE-2026-109619 (conocidas como "PHP2Shell"). Si su página web está hecha en WordPress, esta noticia le afecta directamente: WordPress funciona sobre PHP.
En este artículo le explicamos, sin tecnicismos, qué pasó, cómo saber si su sitio está en riesgo y qué hacer hoy mismo.
¿Qué pasó?
PHP es el lenguaje con el que funcionan WordPress, WooCommerce y la mayoría de sistemas web. Las dos fallas descubiertas permiten que un atacante ejecute código en el servidor sin necesidad de usuario ni contraseña. En la práctica, eso significa que podría tomar el control del sitio: cambiar contenido, robar datos de clientes, instalar programas maliciosos o usar el servidor para atacar a otros.
Según el anuncio oficial de PHP, las fallas afectan casi todas las versiones publicadas desde PHP 5.4. Los servidores que usan PHP como módulo de Apache (mod_php) son los de mayor riesgo. Ya se han reportado intentos de explotación, aunque al momento de escribir este artículo no hay casos confirmados de sitios comprometidos.
¿Cuáles versiones son seguras?
Las versiones corregidas, publicadas el mismo 21 de octubre, son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si su servidor usa PHP 8.1 o una versión anterior, hay un problema adicional: esas versiones ya no reciben soporte oficial, así que no tendrán una actualización sencilla. Lo recomendable es planificar el cambio a una versión vigente lo antes posible.
Qué hacer hoy si tiene un sitio en WordPress
- Pregúntele a su proveedor de hosting si ya aplicó la actualización de PHP en su servidor. En hosting compartido, normalmente es el proveedor quien la aplica.
- Revise qué versión de PHP usa su sitio. En WordPress puede verla en Herramientas › Salud del sitio › Información › Servidor.
- Si usa PHP 8.1 o anterior, planifique subir de versión. Antes de hacerlo, conviene probar que su tema y sus plugins sean compatibles.
- Verifique que tenga un respaldo reciente y que ese respaldo se pueda restaurar.
- Esté atento a señales raras: usuarios administradores que usted no creó, archivos nuevos, redirecciones a otros sitios o avisos de Google sobre sitio peligroso.
Por qué en Infotech estamos atentos
Desde 2010 trabajamos con sitios web de pequeñas y medianas empresas en Costa Rica, y sabemos que la mayoría de los dueños de negocio no tienen tiempo para seguir boletines de seguridad. Para eso estamos nosotros.
Cuando sale una alerta como esta, nuestro trabajo es:
- Darle seguimiento a los avisos oficiales de PHP, WordPress y sus plugins, para reaccionar el mismo día y no semanas después.
- Revisar la versión de PHP de los sitios y servidores que administramos, y coordinar la actualización con el proveedor de hosting cuando corresponde.
- Probar la compatibilidad del tema y los plugins antes de cambiar de versión, para que el sitio no se caiga por la actualización.
- Mantener respaldos al día y protección activa con firewall (Wordfence) para detectar y bloquear intentos de ataque.
- Avisarle en lenguaje claro qué pasó y qué hicimos, sin tecnicismos.
Una falla de seguridad no avisa. La diferencia entre un susto y un problema serio suele ser cuánto tiempo pasa entre el anuncio de la corrección y su aplicación. Por eso el mantenimiento de un sitio no es un lujo: es lo que mantiene su negocio en línea y la información de sus clientes protegida.
Si quiere que revisemos su sitio, puede ver nuestro servicio de Mantenimiento y Seguridad WordPress o escribirnos por WhatsApp al 7180-2259. Revisamos su sitio y su servidor sin compromiso.
Preguntas frecuentes
¿Mi sitio en WordPress está afectado?
Si su servidor usa una versión de PHP anterior a las versiones corregidas (8.5.12, 8.4.27, 8.3.36 u 8.2.35), sí es vulnerable hasta que se actualice. WordPress en sí no es la falla, pero funciona sobre PHP.
¿Tengo que hacer algo yo o lo hace mi hosting?
Depende del tipo de hosting. En hosting compartido, lo normal es que el proveedor actualice PHP; en servidores VPS o dedicados, la actualización la hace quien administra el servidor. Lo más seguro es preguntar y confirmar.
¿Actualizar PHP puede dañar mi sitio?
Dentro de la misma versión principal (por ejemplo, de 8.3.x a 8.3.36) el riesgo es bajo. Cambiar de versión principal (por ejemplo, de 7.4 a 8.3) sí puede causar errores si el tema o algún plugin no son compatibles, por eso conviene probar antes y tener un respaldo.
¿Dónde puedo leer el anuncio oficial?
En el sitio oficial de PHP: php.net (anuncio del 21 de octubre de 2026).
