¿Qué datos pide el comprobador de versión PHP?
Cinco, y siempre puedes elegir «No lo sé»:
| Campo | Qué introducir | Dónde encontrarlo |
|---|---|---|
| Versión de PHP | La versión completa, por ejemplo 8.3 más su número de parche | Salud del sitio de WordPress o el panel de control de tu hosting |
| Cómo se ejecuta PHP | PHP-FPM, Apache mod_php, CGI/LiteSpeed/FrankenPHP o solo línea de comandos | La SAPI de PHP en Salud del sitio de WordPress, o tu proveedor |
| Instalado desde | Versión de php.net o imagen oficial de Docker, paquete del sistema (Ubuntu, Debian), panel de control del hosting o compilado desde el código fuente | Tu proveedor o el administrador del servidor |
| Distribución y versión del paquete | Solo para paquetes de Ubuntu o Debian: la versión del sistema y la versión completa del paquete | El gestor de paquetes del servidor |
| Medida temporal | Si hay aplicada una medida temporal como session.upload_progress.enabled=0 | Tu proveedor o el administrador del servidor |
¿Qué resultados puede dar el comprobador de versión PHP?
Uno de estos cuatro, basado solo en lo que introduzcas:
| Resultado | Qué significa |
|---|---|
| En el rango afectado | Este PHP es anterior a la primera versión corregida de su rama. Actualízalo. |
| Coincide con una versión corregida | La versión o el paquete es igual o posterior a la corrección. Reinicia PHP y revisa cada web. |
| Revisa el parche de tu proveedor | El PHP procede de una distribución o de una compilación propia en la que la corrección puede estar aplicada mediante backport, y los datos introducidos no bastan para confirmarlo. |
| Aún no se puede saber | El formato de la versión, la rama o la configuración no bastan para decidir. |
Una medida temporal se muestra como una nota aparte y nunca convierte un resultado en «corregido». Ningún resultado dice si una web fue hackeada en el pasado.
¿Dónde encuentro la versión de PHP que hay que introducir?
En WordPress, abre Herramientas → Salud del sitio → Información → Servidor y mira la versión de PHP y la SAPI de PHP. En un panel de control de hosting, abre los ajustes de PHP de tu dominio. En un servidor o en un contenedor, php -v muestra el PHP de la línea de comandos de ese servidor o contenedor concreto, que puede ser distinto del PHP que sirve tu web. La guía para comprobar la versión de PHP explica cada método.
¿Por qué el comprobador pregunta cómo se ejecuta PHP?
Porque PHP2Shell tiene que ver con el PHP que atiende peticiones web. El aviso de PHP menciona PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed, y considera mod_php el caso de mayor riesgo. Una versión leída con php -v puede no ser el PHP que usa tu web, así que, si eliges «Solo línea de comandos», el comprobador indica que el resultado no confirma lo que usa la web.
¿Por qué pide la distribución y la versión del paquete?
Ubuntu, Debian y otras distribuciones parchean PHP en sus propios paquetes y mantienen el número de versión original. Un paquete corregido de Ubuntu o Debian puede parecer anterior a 8.3.36 o 8.4.27 y aun así contener la corrección. Con la versión del sistema y la versión completa del paquete, el comprobador los compara con los registros de los distribuidores que verás a continuación. Solo las filas marcadas como «Corregido» tienen una versión de paquete corregido confirmada; para las demás, el resultado es «Revisa el parche de tu proveedor».
| Proveedor | Versión del sistema | Paquete | Versión del paquete corregido | Estado |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corregido |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corregido |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corregido |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corregido |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corregido |
| Docker Official Images | — | php | — | No verificado |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corregido |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corregido |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corregido |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corregido |
| XServer | — | PHP | — | No verificado |
| ConoHa WING | — | PHP | — | No verificado |
| ロリポップ！ | — | PHP | — | No verificado |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corregido |
Comprobado entre el 21 de octubre de 2026 y el 22 de octubre de 2026.
Si tu versión del sistema o tu paquete no aparecen, el resultado es «Revisa el parche de tu proveedor», no «afectado».
¿Puede el comprobador revisar mi web por su URL?
Sí, con límites. Introduce la dirección en el campo de URL y nuestro servidor envía a la web una petición HEAD, la misma que hace un navegador, y lee las cabeceras Server y X-Powered-By igual que lo hace el php2shell-checker de OpenAI. Si aparece una versión de PHP, el comprobador la rellena y da su resultado habitual, que puedes afinar indicando de dónde procede PHP. Muchas webs ocultan esa cabecera, y una cabecera puede ser incorrecta o no reflejar un backport del distribuidor, así que «no se muestra» nunca significa que esté parcheada. Comprueba solo webs que gestiones o que tengas permiso para probar. Las comprobaciones se limitan a webs públicas en los puertos 80 y 443 y a 10 por minuto. También puedes pegar en el campo de versión la salida de la herramienta de OpenAI, una línea de php -v o una cabecera X-Powered-By.
¿Se envía o se guarda algo de lo que introduzco?
Los datos de la versión, no. El resultado se calcula en tu navegador y nada de lo que escribes se añade a la dirección de la página, así que un enlace compartido nunca contiene tus datos. Solo la comprobación opcional por URL envía la dirección que introduces a nuestro servidor, que la conserva como máximo 5 minutos en una caché. Consulta la página de privacidad.
¿Un resultado vale para toda mi web?
Vale para la instancia de PHP que has consultado. Las webs con varios dominios, pools de procesos, contenedores o servidores pueden usar versiones de PHP distintas. Comprueba cada una, y vuelve a comprobarlas después de actualizar y reiniciar PHP.
¿Qué hago con el resultado?
- En el rango afectado: sigue la guía del parche PHP2Shell.
- Revisa el parche de tu proveedor: compara tu paquete con el aviso de tu distribución; consulta actualizar PHP en Ubuntu.
- PHP 7.4, 8.0 u 8.1: lee el fin de soporte de PHP y PHP2Shell.
- Te preocupa una intrusión anterior: usa la guía para saber si han hackeado tu web.
Vuelve a la página principal del comprobador PHP2Shell.
¿Qué fuentes usa el comprobador?
Las versiones corregidas proceden de los avisos de PHP; las versiones de los paquetes de los distribuidores, de los avisos de seguridad de Ubuntu y Debian. Los datos se revisaron el 22 de octubre de 2026.
- The PHP Group: aviso de seguridad
- Aviso de GitHub: RCE via OOM corruption
- Aviso de GitHub: RCE via stale global state
- Manual de PHP: php_sapi_name
- WordPress.org: pantalla Salud del sitio
- Canonical: aviso de seguridad de Ubuntu
- Debian: aviso de seguridad
Fuentes
Los datos principales de esta página (versiones corregidas, detalles de los CVE, paquetes de los distribuidores y avisos de organismos oficiales) proceden de fuentes oficiales. Las investigaciones, noticias y publicaciones de la comunidad se identifican como tales.
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- RCE via OOM corruptionOficial The PHP Group
- RCE via stale global stateOficial The PHP Group
- php_sapi_nameOficial The PHP Group
- Site Health screenOficial WordPress.org
- USN-8948-1: PHP vulnerabilitiesProveedor Canonical
- DSA-6574-1 php8.4 security updateProveedor Debian Security Team