PHP2Shell: ¿Mi sitio web está afectado? Cómo comprobarlo

Si su sitio web está afectado por PHP2Shell lo decide la versión de PHP en el servidor, no el CMS. Son seguras PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, así como los paquetes de su distribución Linux en los que se ha retroportado la corrección. Puede encontrar la versión en pocos minutos en el área de clientes del hosting, en el menú de WordPress «Estado del sitio» o con el comando php -v.

Los antecedentes de la vulnerabilidad se explican en el artículo PHP2Shell: Lo que las empresas deben saber ahora. Aquí solo se trata de la pregunta: ¿estoy afectado y qué debo hacer?

Paso 1: ¿Su sitio web funciona realmente con PHP?

WordPress, TYPO3, Joomla, Drupal, Contao, Shopware, Magento y muchos creadores de sitios en hostings clásicos utilizan PHP. Los sitios web con sistemas de creación de páginas puros de grandes plataformas o con frameworks modernos de JavaScript a menudo no. En caso de duda, pregunte a su diseñador web o a su proveedor de hosting.

Paso 2: averiguar la versión de PHP

En el área de clientes del hosting

En la mayoría de los proveedores de hosting encontrará la versión de PHP en «Ajustes de PHP», «Versión de PHP» o en la configuración del espacio web. Anote el número de versión completo, por ejemplo 8.3.36 y no solo 8.3.

En WordPress

En «Herramientas → Salud del sitio → Informe → Servidor», WordPress muestra la versión de PHP. También aquí cuenta el número completo.

En servidores propios

Con el comando php -v en la línea de comandos. Atención: la versión del servidor web puede diferir de la versión de la línea de comandos. En caso de duda, compruebe la versión utilizada por el servidor web. En distribuciones Linux como Debian o Ubuntu, el número de versión por sí solo dice poco, ya que a menudo las correcciones se retroportan a paquetes antiguos. Lo decisivo es el aviso de seguridad de su distribución.

Paso 3: evaluar la versión

Su versión	Evaluación
8.5.12 o superior, 8.4.27, 8.3.36, 8.2.35	parcheado
versiones anteriores de 8.2 a 8.5	afectado – actualizar de inmediato
7.4, 8.0, 8.1	afectadas y sin soporte regular – se necesita un parche de backport o una migración
anterior a 7.4	afectadas, sin parche – migrar con urgencia
paquete de distribución (Debian, Ubuntu, Red Hat)	revisar el aviso de seguridad de la distribución

Paso 4: Pregunte al proveedor de hosting o de servicios

Envíe un breve correo electrónico: «¿PHP en nuestro webspace o servidor está parcheado frente a CVE-2026-109618 y CVE-2026-109619 (PHP2Shell)? Por favor, con número de versión». Una respuesta por escrito también ayuda con la documentación, por ejemplo ante los responsables de protección de datos.

Paso 5: No olvide los dispositivos

Los cortafuegos, routers, pasarelas VPN y sistemas de almacenamiento en red (NAS) suelen tener una interfaz web con PHP. El BSI menciona, entre otros, productos de OPNsense, pfSense, QNAP y Synology como al menos parcialmente afectados. Compruebe si el fabricante ofrece una actualización de firmware e instálela. Las interfaces web de este tipo de dispositivos no deberían ser accesibles desde Internet en ningún caso.

Paso 6: Busque indicios

¿Hubo anomalías entre el 17 y el día de su actualización? ¿Nuevos archivos PHP, usuarios desconocidos, errores repentinos? Qué hacer entonces se indica en ¿Sitio web hackeado? Reconocer las señales y reaccionar correctamente.

¿No está seguro de si su sitio web, su tienda online o sus dispositivos están afectados? Póngase en contacto con nosotros. Revisamos sus sistemas, instalamos actualizaciones y le decimos con honestidad qué hacer, incluso si resulta que todo está en orden. Para empezar, basta con una breve conversación.

Preguntas frecuentes

¿Cómo encuentro mi versión de PHP?

En el área de clientes del hosting, en los ajustes de PHP; en WordPress, en Herramientas → Estado del sitio → Informe → Servidor; o en servidores propios con el comando php -v.

Mi sitio web está creado con un constructor. ¿Tengo que hacer algo?

En las grandes plataformas de constructores, el proveedor se encarga de los servidores. En caso de duda, consulte. Si además opera dispositivos propios con interfaz web, revíselos por separado.

Mi servidor utiliza PHP 8.1. ¿Y ahora qué?

PHP 8.1 ya no recibe actualizaciones regulares. Para PHP2Shell existen parches de backport, pero a largo plazo debería cambiar a una versión compatible. Más información en el artículo sobre versiones obsoletas de PHP.

Estado: 24 de octubre de 2026. Fuente: Aviso de seguridad del BSI sobre PHP2Shell.