Parche PHP2Shell: versiones corregidas de PHP y cómo actualizar

¿Qué versiones de PHP incluyen el parche PHP2Shell?

Son las primeras versiones corregidas; cualquier versión posterior de la misma rama también incluye el parche. Las distribuciones de Linux aplican el parche a sus propios paquetes mediante backport, a menudo manteniendo un número de versión que parece antiguo. La tabla siguiente recoge también imágenes, paneles y proveedores cuyo estado aún no hemos verificado:

PHP 8.1 y anteriores no reciben versiones nuevas. PHP publicó parches mínimos del código fuente para 7.4, 8.0 y 8.1, y algunas distribuciones ofrecen paquetes corregidos para esas ramas; consulta el fin de soporte de PHP.

¿Qué guía del parche PHP2Shell corresponde a mi caso?

Guías para corregir PHP2Shell disponibles en español, por entorno:

• Paneles de control: cPanel y Plesk
• Proveedores de hosting: Raiola Networks, Dinahosting, cdmon, IONOS, Hostinger, SiteGround
• Servidores y entornos: Ubuntu y Debian, Docker, PHP 7.4, 8.0, 8.1
• Aplicaciones: WordPress
• WAF y CDN: Cloudflare, AWS WAF, Fastly, Imperva y otros

¿Cómo consigo el parche PHP2Shell en un hosting compartido?

En un hosting compartido, PHP lo instala el proveedor. Algunos actualizan automáticamente; otros ofrecen varias versiones de PHP por web, y solo tienes la corrección cuando eliges una parcheada.

1. Comprueba tu versión. En WordPress: Herramientas → Salud del sitio → Información → Servidor. Si no, en los ajustes de PHP del panel de tu hosting.
2. Compárala con las versiones corregidas de arriba o usa el comprobador de versión PHP.
3. Cambia a una versión corregida de la misma rama si tu panel la ofrece.
4. Si no, pregunta a tu proveedor con el mensaje de abajo.
5. Confirma la nueva versión cuando te respondan.

Algunos proveedores suspendieron temporalmente sus paneles de control o sus webs de servicio por precaución, por ejemplo XServer y Lolipop en Japón. Si tu panel no está disponible, consulta la página de estado o los anuncios de tu proveedor antes de cambiar nada.

¿Qué le pido al soporte de mi hosting?

Copia esto en un ticket de soporte y sustituye las partes entre corchetes:

Hola: mi web [example.com] está alojada con ustedes. PHP ha publicado correcciones de seguridad para las vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619).

¿Podrían indicarme lo siguiente?

1. ¿Qué versión de PHP usa mi web?
2. ¿Se ha actualizado a una versión corregida (8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior) o a un paquete del distribuidor que incluya la corrección?
3. ¿Se reiniciaron después todos los procesos de PHP?
4. Si aún no se ha hecho, ¿cuándo se aplicará la actualización y tengo que hacer algo yo?

Gracias.

Si tu proveedor dice que la web está parcheada pero el número de versión no ha cambiado, pregunta qué paquete o qué aviso de seguridad contiene la corrección; los backports de las distribuciones pueden mantener el número antiguo.

¿Actualizar PHP puede romper mi web?

Pasar a una versión posterior de la misma rama (por ejemplo, de una 8.3 antigua a 8.3.36) aporta correcciones de errores y de seguridad, no funciones nuevas, así que rara vez rompe una web. Cambiar de rama, por ejemplo de 7.4 a 8.3, puede romper temas, plugins o código antiguos: haz una copia de seguridad y pruébalo antes en una copia de pruebas (staging). Después de actualizar, revisa el inicio de sesión, los formularios, las subidas de archivos, los pagos y las tareas programadas, no solo la página de inicio.

¿Cómo confirmo que el parche PHP2Shell ha funcionado?

• Reinicia todos los procesos de PHP. Los pools de PHP-FPM y Apache siguen usando el PHP antiguo hasta que se reinician.
• Comprueba lo que indica la web, no solo la línea de comandos: Salud del sitio de WordPress o tu panel de control. php -v en el servidor muestra el PHP de la línea de comandos, que puede ser distinto. Introduce el resultado en el comprobador de versión PHP.
• Repítelo en cada web, cada pool de procesos y cada contenedor. Que una web esté corregida no significa que lo estén las demás.
• Si parcheaste tarde, sigue la guía para saber si han hackeado tu web. El parche cierra el agujero, pero no elimina una puerta trasera.

¿Y si hoy no puedo instalar el parche PHP2Shell?

Usa las medidas temporales oficiales solo para ganar tiempo: reducen la exposición a vías de ataque concretas, pero no son una corrección ni hacen que la web sea segura. Consulta la página de medidas temporales para PHP2Shell. Si no puedes parchear, varios organismos nacionales recomiendan desconectar o aislar la web hasta que puedas hacerlo.

¿Cómo explico el parche a mi jefe o a mis clientes?

Informa de hechos: qué webs usan qué PHP, qué se ha actualizado, qué sigue pendiente, quién se encarga y cuándo está prevista la próxima actualización. Distingue «parcheado» de «revisado en busca de intrusiones». Ejemplo: «Nuestras webs funcionan con PHP. Hoy se han corregido dos vulnerabilidades críticas de PHP; hemos actualizado [N] webs y [M] están pendientes de nuestro proveedor de hosting, previsto para el [fecha]». Vuelve al comprobador PHP2Shell.

¿Qué fuentes respaldan esta página?

• The PHP Group: aviso de seguridad y versiones corregidas
• Aviso de GitHub GHSA-w8hw-w9fx-j79w
• Aviso de GitHub GHSA-6wmf-4rv5-p3rp
• WordPress.org: actualizar PHP
• WordPress.org: pantalla Salud del sitio
• Canonical: aviso de seguridad de Ubuntu
• Debian: aviso de seguridad
• cPanel: MultiPHP Manager
• Plesk: ajustes de PHP
• XServer: suspensión preventiva del panel de control (X)
• Lolipop: aviso de suspensión preventiva (X)