Tener WordPress y todos los plugins actualizados no te protege de PHP2Shell. El fallo está en PHP, el lenguaje sobre el que funciona tu web, y se explota antes de que WordPress cargue una sola línea.
Respuesta rápida:
- Estás protegido si tu servidor ejecuta PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 o superior, o una versión antigua con el parche aplicado por tu hosting (confirmado por escrito).
- Estás en riesgo si tu web sigue en PHP 8.1, 8.0 o 7.4 sin parche del proveedor. Muchas webs siguen ahí porque algún plugin o tema antiguo no funciona con PHP moderno.
- Ningún plugin de seguridad lo bloquea, ni Wordfence, ni Sucuri, ni similares. La solución está en el servidor.
La configuración recomendada hoy es WordPress 7.1 con PHP 8.4 u 8.5, con WooCommerce y todos los plugins al día. A diferencia de otras plataformas, WordPress ya funciona con versiones de PHP que reciben parches oficiales: si tu web no puede usarlas, el freno casi siempre es un plugin o una plantilla sin soporte. Por eso la mejor defensa es usar solo plugins y plantillas conocidos y mantenidos, y contar con un mantenimiento WordPress que actualice PHP a tiempo.
En Kebes mantenemos webs WordPress y tiendas WooCommerce a diario. Te explicamos qué ha pasado, cómo saber si tu web está expuesta, qué hacer hoy mismo y cómo evitar que la próxima vulnerabilidad te pille con PHP antiguo.
Índice de contenidos
Qué es PHP2Shell
Con PHP2Shell se conocen dos agujeros graves en el motor de PHP (CVE-2026-109618 y CVE-2026-109619, gravedad 9,2 sobre 10). Basta con enviar una petición preparada a tu web para que el atacante tome el control del servidor, sin usuario ni contraseña de WordPress.
Para el dueño de una web WordPress o una tienda WooCommerce, lo importante es esto: todas las versiones de PHP desde la 5.4 están afectadas, da igual el hosting o el servidor web que uses.
Por qué no es una alerta más:
- WordPress fue de los primeros en caer en las pruebas. Los investigadores tomaron el control de una instalación de WordPress totalmente actualizada, sin ningún plugin vulnerable de por medio.
- Los atacantes iban por delante. Hubo intentos de ataque días antes de que existiera el parche, y la agencia de ciberseguridad de EE. UU. (CISA) lo da ya por explotado activamente.
- No solo instala malware: también roba. Puede leer de la memoria del servidor contraseñas y claves de servicios conectados, como pasarelas de pago o tu proveedor de email.
La corrección oficial llegó el 21 de octubre de 2026 en PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las ramas más antiguas (8.1, 8.0 y 7.4) no tienen versión oficial: dependen de que tu hosting aplique un parche por su cuenta.
¿Tienes también una tienda PrestaShop? Allí el problema es distinto y lo explicamos en PHP2Shell y PrestaShop: qué versiones son vulnerables.
Por qué afecta a WordPress y WooCommerce (y por qué un plugin no lo arregla)
WordPress y WooCommerce están escritos en PHP, así que heredan el fallo. El ataque se produce mientras PHP procesa la petición, antes de que WordPress arranque.
WooCommerce lo dejó claro en su comunicado del 21 de octubre: no hay ni habrá actualización de WordPress ni de WooCommerce para esto. La solución es actualizar PHP en el servidor.
Esto tiene tres consecuencias prácticas:
- Actualizar WordPress, WooCommerce o los plugins no te protege frente a PHP2Shell.
- Los plugins de seguridad no lo bloquean. Wordfence, Sucuri o iThemes son código de WordPress y se cargan demasiado tarde.
- Un WAF externo ayuda, pero no basta. Cloudflare u otro firewall frenan muchos intentos mientras se actualiza PHP, pero no sustituyen la actualización.
Si tu web está alojada en WordPress.com, WP VIP o Pressable, Automattic ya ha aplicado el parche. El resto de webs, la gran mayoría, dependen de su hosting.
Qué versiones de PHP son seguras en WordPress y WooCommerce
WordPress 7.1 funciona con PHP 8.5, y el propio equipo de WordPress recomienda PHP 8.4 u 8.5. Es decir, WordPress no te obliga a quedarte en un PHP sin parches. La versión de PHP que usas depende de tu hosting y, sobre todo, de tus plugins y tu plantilla.
| Versión de PHP | ¿Parche oficial de PHP2Shell? | ¿Compatible con WordPress 7.1 y WooCommerce? | Nivel de riesgo |
|---|---|---|---|
| 8.5 (recomendada) | Sí, desde 8.5.12 | Sí | Mínimo |
| 8.4 (recomendada) | Sí, desde 8.4.27 | Sí | Mínimo |
| 8.3 | Sí, desde 8.3.36 | Sí | Bajo si actualizas |
| 8.2 | Sí, desde 8.2.35 (sin soporte desde el 31/12/2026) | Sí | Bajo, pero con fecha de caducidad |
| 8.1 | No. Solo parches no oficiales del hosting | Sí, pero ya sin soporte de PHP | Alto |
| 8.0 y 7.4 | No. Solo parches no oficiales del hosting | Sí, pero WooCommerce dejará de admitirlas pronto | Alto |
| 7.3 o anterior | No | No con WordPress actual | Crítico |
WooCommerce recomienda PHP 8.3 o superior y ya ha anunciado que dejará de funcionar en PHP 7.4 y 8.0 en una próxima versión, previsiblemente a principios de 2027.
Un matiz importante: un número de versión bajo no siempre significa vulnerable. Algunos proveedores (Debian, Ubuntu, CloudLinux, cPanel) aplican el parche sin cambiar el número. Pide confirmación por escrito a tu hosting.
El verdadero problema: plugins y plantillas sin soporte
Si WordPress ya funciona con PHP 8.5, ¿por qué tantas webs siguen en PHP 7.4 u 8.1? Casi siempre por lo mismo: un plugin o una plantilla que nadie mantiene y que se rompe al subir de versión de PHP.
Lo vemos a diario:
- Plugins abandonados que llevan años sin actualizarse en el repositorio de WordPress.
- Plantillas premium compradas una vez y nunca renovadas, o de autores que ya no existen.
- Plugins «nulled» o descargados de webs no oficiales, que además suelen traer malware.
- Código a medida que nadie ha revisado desde que se hizo la web.
Cada uno de ellos te ata a un PHP antiguo, y un PHP antiguo te deja sin parches oficiales cuando aparece algo como PHP2Shell.
La regla que aplicamos en Kebes es sencilla: solo plugins y plantillas conocidos, con miles de instalaciones, actualizaciones recientes y soporte activo (y con su licencia al día si son de pago). Si un plugin no cumple eso, se sustituye antes de que se convierta en un problema.
Si tienes WooCommerce, el riesgo es mayor
Una tienda WooCommerce guarda en el servidor mucho más que una web corporativa: claves de Stripe, Redsys o PayPal, datos de clientes y pedidos. PHP2Shell permite leer esa información de la memoria del servidor, así que el impacto va más allá de una web caída:
- Pasarelas de pago comprometidas. Con tus claves API, un atacante puede manipular pagos o reembolsos.
- Robo de tarjetas en el checkout. Con acceso al servidor puede inyectar código que copia los datos de tarjeta que escriben tus clientes.
- Fuga de datos personales. Nombres, direcciones y teléfonos de clientes, con la obligación de notificarlo a la AEPD en 72 horas si se confirma la brecha.
Si tu tienda estuvo con PHP sin parchear desde el 17 de octubre, además de actualizar PHP conviene regenerar las claves API de tus pasarelas de pago y los secretos de los webhooks.
Cómo ver qué versión de PHP usa tu WordPress
No necesitas entrar al servidor; WordPress te lo dice:
- Entra en el escritorio de WordPress.
- Ve a Herramientas > Salud del sitio > Información.
- Despliega el apartado Servidor y busca «Versión de PHP».
En una tienda WooCommerce también lo verás en WooCommerce > Estado. Aprovecha para mirar en Plugins cuáles llevan más de un año sin actualizarse: son los candidatos a impedirte subir de PHP.
Qué hacer ahora con tu WordPress o tu tienda WooCommerce
- Confirma con tu hosting que PHP está parcheado. Pide la respuesta por escrito y que te confirmen que han reiniciado PHP.
- Sube a PHP 8.4 u 8.5 si puedes. En la mayoría de paneles (cPanel, Plesk) es un cambio de un desplegable. Hazlo primero en una copia de pruebas y con copia de seguridad reciente.
- Si algo se rompe al subir de PHP, identifica al culpable. Suele ser un plugin o una plantilla sin actualizar. Sustitúyelo por una alternativa conocida y con soporte en lugar de quedarte en PHP antiguo.
- Haz limpieza de plugins. Elimina los que no usas, los abandonados y cualquier versión «nulled». Menos plugins, menos riesgo.
- Renueva las licencias de tu plantilla y plugins premium para seguir recibiendo actualizaciones.
- Si tienes tienda, rota credenciales. Claves de pasarelas de pago, contraseñas de administrador y acceso a la base de datos.
- Busca señales de intrusión: administradores que no conoces, archivos PHP nuevos en
wp-content/uploadso cambios en el checkout. Si encuentras algo, limpia el malware antes de seguir. - Deja de hacerlo a mano. Con un mantenimiento WordPress profesional, PHP, plugins y plantilla se actualizan de forma controlada y alguien vigila las nuevas vulnerabilidades por ti.
Si tu hosting tarda en parchear
Mientras llega la actualización, tu proveedor o tu técnico puede reducir el riesgo con dos medidas en el servidor:
- Desactivar
session.upload_progressen la configuración de PHP del servidor. En WordPress no afecta a nada: la subida de imágenes a la biblioteca de medios sigue funcionando. Ojo: ponerlo en.htaccess,.user.inio con un plugin no sirve. - Activar reglas de firewall (WAF) en Cloudflare o en el propio hosting para bloquear los intentos conocidos.
Son parches de emergencia, no una solución: la única protección completa es un PHP actualizado.
Preguntas frecuentes sobre PHP2Shell en WordPress
¿Hay una actualización de WordPress o WooCommerce para PHP2Shell?
No. WooCommerce ha confirmado que ni WordPress ni WooCommerce van a publicar una actualización para esto. La solución es actualizar PHP en el servidor.
¿Wordfence o Sucuri me protegen?
No frente a este fallo. Se cargan cuando WordPress arranca y el ataque ocurre antes. Siguen siendo útiles para otras amenazas, pero no sustituyen a un PHP actualizado.
¿Qué versión de PHP debería usar mi WordPress?
PHP 8.4 u 8.5, con WordPress 7.1 y WooCommerce al día. Si tu web no funciona con ellas, el problema está en algún plugin o plantilla que conviene sustituir.
¿Por qué mi web no puede subir de PHP?
Casi siempre por plugins abandonados, plantillas sin licencia o desarrollos a medida antiguos. Por eso recomendamos usar solo plugins y plantillas conocidos, con actualizaciones recientes y soporte activo.
Mi web está en WordPress.com, ¿tengo que hacer algo?
No. Automattic ya ha aplicado el parche en WordPress.com, WP VIP y Pressable.
¿Cómo evito que me vuelva a pasar?
Con un mantenimiento WordPress que mantenga al día PHP, plugins y plantilla, y que vigile las vulnerabilidades nuevas antes de que te afecten.
Mantenimiento WordPress: la forma de no depender de la suerte
PHP2Shell no ha sido culpa de WordPress, pero sí ha dejado claro qué webs estaban preparadas: las que tenían PHP al día, plugins y plantillas con soporte, y alguien pendiente de ellas.
Con el mantenimiento WordPress de Kebes:
- Mantenemos PHP, WordPress, WooCommerce, plugins y plantilla actualizados, probando antes en copia.
- Revisamos tus plugins y plantilla y sustituimos los abandonados por alternativas conocidas y con soporte.
- Vigilamos las vulnerabilidades nuevas y actuamos cuando aparece algo como PHP2Shell.
- Hacemos copias de seguridad y, si algo pasa, limpiamos y recuperamos la web.
¿No sabes si tu web está expuesta? Pide una revisión de seguridad web o contrata el mantenimiento WordPress y nos encargamos.