IONOS: versión de PHP y estado del parche PHP2Shell

¿Mi web en IONOS está afectada por PHP2Shell?

Tu web en IONOS está afectada si ejecuta una versión de PHP anterior a la versión corregida de su rama. PHP2Shell son dos fallos críticos del propio PHP, CVE-2026-109618 y CVE-2026-109619, así que afectan a cualquier web PHP, WordPress incluido. En los packs de hosting, PHP lo instala IONOS; en un VPS o servidor que administras tú, lo instalas tú. Estas son las versiones corregidas:

El comprobador PHP2Shell te ayuda a interpretar la versión de tu web.

¿Qué ha anunciado IONOS sobre la vulnerabilidad de PHP?

IONOS anunció en su página de estado para España un «Mantenimiento de seguridad: pueden producirse breves interrupciones en los servicios basados en PHP», publicado el 21 de octubre de 2026 a las 18:04 (hora peninsular; 16:04 UTC). IONOS dice:

• Que se ha detectado una vulnerabilidad crítica en PHP y que está instalando la actualización de seguridad en todos sus sistemas, con la previsión de terminar en 24 horas.
• Que, mientras tanto, algunas webs y servicios pueden ir lentos o dejar de estar disponibles brevemente.
• Que si gestionas una aplicación por tu cuenta, por ejemplo en un VPS o en un servidor bare metal, instales tú la actualización de seguridad de PHP lo antes posible.

El aviso afecta a Web Hosting, Hosting Windows, WordPress Hosting, el Panel de Control de IONOS y MyWebsite. A las 23:00 (21:00 UTC) IONOS añadió que seguía trabajando para restablecer el acceso a los servicios afectados. La página de estado de México publica el mismo aviso.

El aviso no menciona PHP2Shell ni los números CVE, ni dice qué versiones de PHP se están instalando. Cuando lo consultamos, el 22 de octubre de 2026, seguía sin cerrarse, así que no podemos confirmar que la actualización haya llegado a todos los servidores.

¿Cómo veo la versión de PHP en IONOS?

La ves en la sección PHP de tu contrato de hosting. Según la ayuda de IONOS Ver o cambiar la versión de PHP, que se aplica a los packs de Hosting Linux y al Servidor Dedicado Gestionado:

1. Accede a tu cuenta de IONOS.
2. Haz clic en Menú → Hosting en la barra de título.
3. Si tienes varios contratos, elige el que quieres revisar.
4. En PHP, haz clic en Administrar o Abrir.
5. La columna Versión PHP muestra la versión activa de cada dominio.

Ese número indica la rama, no la compilación exacta. Para ver lo que ejecuta tu web, en WordPress ve a Herramientas → Salud del sitio → Información → Servidor. El comprobador de versión de PHP te explica cómo leer el resultado.

¿Cómo cambio a una versión corregida en IONOS?

Depende del producto:

• Hosting Linux y Servidor Dedicado Gestionado: IONOS instala las actualizaciones; tú eliges la rama. En la misma pantalla, haz clic en el dominio (o marca varios y pulsa CAMBIAR la versión PHP), elige la versión y pulsa Guardar. La ayuda de IONOS dice que en las «versiones actuales» instala las nuevas actualizaciones de inmediato.
• Hosting Gestionado para WordPress y MyWebsite: IONOS gestiona la versión de PHP automáticamente y no se puede cambiar.
• VPS, Cloud o bare metal: administras tú PHP. Actualízalo a una versión corregida y reinicia PHP; en Ubuntu o Debian, sigue la guía actualizar PHP en Ubuntu. Si hoy no puedes, consulta las medidas temporales.

La ayuda que citamos no cubre el Hosting Windows, aunque el aviso de IONOS sí lo incluye; para ese producto no hemos verificado los pasos. Antes de cambiar de rama, haz una copia de seguridad; IONOS recuerda que puedes volver a la versión anterior si algo falla.

¿Qué pasa con WordPress en IONOS?

En WordPress, la corrección de PHP2Shell llega solo con PHP: actualizar WordPress, temas o plugins no la aplica. Cuando IONOS cierre el aviso, abre Herramientas → Salud del sitio → Información → Servidor en cada web y compara la versión con la tabla de arriba. Cada dominio puede tener su propia versión. Más detalles en PHP2Shell y WordPress.

¿Qué le pregunto al soporte de IONOS?

Contacta con IONOS solo si, después de que cierre el aviso, tu web sigue mostrando una versión anterior a la corregida. Pregunta qué compilación exacta de PHP usa tu web, si incluye la corrección de CVE-2026-109618 y CVE-2026-109619, si se reiniciaron los procesos de PHP y, si no está, cuándo se actualizará tu servidor. Tienes un mensaje listo en la guía del parche de PHP2Shell. Contacta siempre desde tu cuenta de IONOS, no desde enlaces de correos inesperados.

¿Y si mi web usa una versión antigua de PHP en IONOS?

Para las versiones que la comunidad PHP ya no mantiene, la ayuda de IONOS dice que IONOS se encarga de las actualizaciones de seguridad dentro del servicio Soporte extendido para PHP, que se pide aparte. PHP no publica versiones nuevas de 8.1 ni anteriores, solo parches mínimos del código fuente para 7.4, 8.0 y 8.1. IONOS no ha dicho a 22 de octubre de 2026 si sus compilaciones antiguas ya incluyen la corrección de PHP2Shell, así que pregúntalo y planifica el paso a una rama con soporte: consulta PHP fin de soporte.