Hostinger: versión de PHP y estado del parche PHP2Shell

¿Mi web en Hostinger está afectada por PHP2Shell?

Tu web en Hostinger está afectada si su compilación de PHP es anterior a la versión corregida de su rama y ninguna otra protección la cubre. PHP2Shell son dos fallos críticos del propio PHP, CVE-2026-109618 y CVE-2026-109619, y afectan a webs PHP de cualquier proveedor. En los planes de hosting gestionado de Hostinger, PHP lo instala Hostinger; en un VPS, lo instalas tú. Las versiones corregidas son:

El comprobador PHP2Shell te explica cómo leer tu versión.

¿Ha parcheado Hostinger PHP para PHP2Shell?

Hostinger dice que está desplegando PHP corregido en todo su hosting gestionado y que en los planes que no son VPS no tienes que hacer nada. A 22 de octubre de 2026 no había dado el despliegue por terminado en todos los servidores.

• Página de estado (21 de octubre de 2026, 17:44 UTC): en PHP Security Update Across Managed Hosting Plans, Hostinger dijo que sus pruebas no encontraron la plataforma vulnerable a PHP2Shell, que añadió una capa de protección extra y que, aun así, desplegaría versiones de PHP corregidas. Sin acción por parte del cliente.
• Página de estado (19:12 UTC): la actualización estaba terminada en Agency Hosting y seguía en el resto de servidores de hosting gestionado.
• Página de estado (22 de octubre, 03:34 UTC): todos los servidores cPanel estaban actualizados a la última compilación de cPanel, que incluye la corrección de PHP (build 138.18), y a la última versión de Alt-PHP. El aviso seguía abierto.
• Blog (21 de octubre de 2026): Hostinger deploys protections against php2shell PHP vulnerabilities enumera las medidas: reglas de firewall y ModSecurity en modo de bloqueo, session.upload_progress desactivado en LiteSpeed, PHP Selector, las configuraciones PHP-FPM de cPanel y phpMyAdmin, y rechazo de peticiones de subida mal formadas. Dice que las versiones corregidas se desplegaron y que se avisó a los clientes por correo.

Los VPS son distintos. El blog de Hostinger dice que las protecciones a nivel de servidor no se aplican a los VPS, porque en ellos gestionas tú PHP. Si usas un VPS, actualiza PHP tú mismo (guía para Ubuntu); las medidas temporales están en la página de mitigación.

¿Cómo veo la versión de PHP en Hostinger?

La ves en la página de configuración de PHP de hPanel. La ayuda en español de Hostinger, Cómo cambiar la versión de PHP en tu plan de hosting Hostinger, indica esta ruta:

1. En hPanel, ve a Sitios web → Administrar.
2. En la barra lateral, haz clic en Configuración de PHP.

La versión en inglés del mismo artículo (How to change the PHP version) nombra los menús Websites → Dashboard → PHP Configuration, así que la etiqueta exacta puede variar según el idioma y la versión de hPanel. Esa página muestra la rama elegida. Para ver la compilación exacta, mira lo que indica tu web; en WordPress, Herramientas → Salud del sitio → Información → Servidor. El comprobador de versión de PHP explica el número.

¿Cómo cambio a una versión corregida en Hostinger?

En los planes gestionados no instalas tú la compilación corregida: la instala Hostinger. Tú eliges la rama. En la página Configuración de PHP, elige la versión y haz clic en Actualizar. Según la ayuda en inglés de Hostinger (Hostinger), el cambio se aplica en un par de minutos, y además:

• El ajuste se aplica a todas las webs del plan de hosting, salvo las creadas con Hostinger AI Builder.
• Las webs nuevas pueden elegir de PHP 8.2 a 8.5. Las versiones 8.1 y anteriores no se pueden seleccionar en el panel.

Haz una copia de seguridad y revisa la compatibilidad de tu tema y tus plugins antes de pasar a una rama más nueva. El blog de Hostinger indica que, si algo falla, puedes volver a la versión anterior dentro de la misma sesión.

¿Qué pasa con WordPress en Hostinger?

En WordPress, la corrección de PHP2Shell llega con PHP, no con WordPress. Actualizar WordPress, temas o plugins no la aplica. Después del despliegue, abre Herramientas → Salud del sitio → Información → Servidor y compara la versión de PHP con la tabla de arriba. Consulta PHP2Shell y WordPress.

¿Qué le pregunto al soporte de Hostinger?

Contacta con el soporte de Hostinger si tu web gestionada sigue mostrando una versión anterior a la corregida después del despliegue. Pregunta qué compilación exacta de PHP usa tu web, si incluye la corrección de CVE-2026-109618 y CVE-2026-109619, si se reiniciaron los procesos de PHP y, si aún no está, cuándo se actualizará tu servidor. Tienes un mensaje listo en la guía del parche de PHP2Shell. Usa el chat de soporte dentro de hPanel, no enlaces de correos inesperados.

¿Y si mi web en Hostinger usa una versión antigua de PHP?

Con PHP antiguo dependes de las compilaciones de Hostinger. PHP no publica versiones nuevas de 8.1 ni anteriores, solo parches mínimos del código fuente para 7.4, 8.0 y 8.1. El blog de Hostinger dice que las webs con versiones antiguas siguen cubiertas por las mismas protecciones, que su proveedor de PHP se ha comprometido a ofrecer compilaciones corregidas de todas las versiones de 5.2 a 8.5 en el hosting Web, Cloud y cPanel, y que Agency Hosting ya usa compilaciones corregidas. A 22 de octubre de 2026 no hemos podido confirmar que esas compilaciones estén desplegadas. El anuncio de PHP recuerda además que PHP 8.2 deja de tener soporte el 31 de diciembre de 2026, así que planifica la actualización: PHP fin de soporte.