PHP2Shell: qué hacer si tu web está en WordPress

El 21 de octubre de 2026, el proyecto PHP publicó un parche de emergencia para dos fallas críticas que permiten tomar el control de un servidor sin usuario ni contraseña. PHP es el lenguaje con el que funciona WordPress, así que si tu web está hecha en WordPress, esto te toca. La solución no es actualizar WordPress: es que tu hosting actualice PHP.

¿Qué pasó con PHP el 21 de octubre?

El equipo de seguridad de PHP avisó el 20 de octubre que al día siguiente saldría una actualización crítica, y el 21 publicó las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las dos fallas (CVE-2026-109618 y CVE-2026-109619) tienen una gravedad de 9,2 sobre 10, según el aviso oficial de PHP.

El aviso dice que están en riesgo “todas las instalaciones de PHP que atienden pedidos web”, con el riesgo más alto en servidores Apache con mod_php, donde se demostró que un pedido sin autenticar dispara el ataque antes de que corra el código del sitio. El detalle técnico confirma el impacto: ejecución remota de código como el usuario del servidor web.

¿Por qué importa que lo haya encontrado una IA?

Los investigadores de Wiz cuentan que usaron modelos de IA (Gemini 4 Argon y GPT-5.6 Sol) para encontrar la falla y armar el ataque. El 19 de agosto encontraron el primer error; el 21 ya ejecutaban código sin autenticarse sobre la imagen oficial de WordPress. Dos días.

Para una PyME, la lectura es simple: el tiempo entre que se publica una falla y que alguien la usa se achicó. Las mismas herramientas que ayudan a encontrarlas ayudan a explotarlas. “Lo actualizo cuando tenga un rato” dejó de ser una opción razonable para una web con datos de clientes o una tienda online.

¿Cómo sé si mi web está afectada?

Mirá la versión de PHP. En WordPress está en Herramientas → Salud del sitio → Información → Servidor; también aparece en el panel del hosting.

Versión de PHP	Situación
8.5.12, 8.4.27, 8.3.36 o 8.2.35 (o más nuevas)	Corregida
8.2, 8.3, 8.4 u 8.5 anteriores a esas	Afectada: hay que actualizar
8.1 o anterior	Afectada y sin soporte oficial: hay parches mínimos, pero lo recomendable es migrar

WordPress recomienda PHP 8.3 o superior. Si tu sitio corre en 7.4 u 8.0, el problema es anterior a esta falla.

¿Qué le tengo que pedir a mi hosting?

En un hosting compartido, PHP lo actualiza el proveedor, no vos. Mandales esto:

Hola, quiero confirmar que el servidor de mi sitio [tu dominio] tiene PHP actualizado contra CVE-2026-109618 y CVE-2026-109619 (versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o el parche de su distribución). ¿Me confirman la versión y la fecha en que se aplicó?

Pedí la respuesta por escrito. Algunas distribuciones parchean sin cambiar el número de versión, así que la confirmación del proveedor vale más que lo que muestra el panel.

Si tu web está en un servidor propio, la actualización la hace quien tiene el acceso. Si no sabés quién es, ese es el primer problema a resolver: un sitio sin dueño técnico es un sitio que nadie va a parchear.

¿Y si mi web es vieja o nadie la mantiene?

Es un caso frecuente: una web armada hace años, con plugins que nadie actualiza y un PHP que quedó en 7.4. Ahí actualizar PHP puede romper el sitio, y la decisión real es entre ponerla al día o reemplazarla. En AIKen hacemos software a medida y te podemos decir, sin vender nada de entrada, cuál de las dos conviene: así trabajamos, y si querés empezar por un diagnóstico, lo pedís desde ahí o por contacto.

Lo que no conviene es esperar. Contamos cómo cuidamos los datos en lo que construimos, y por qué usamos IA con criterio en esta nota sobre herramientas gratuitas.