PHP2Shell y WordPress: ¿tu web con WordPress está afectada?

¿Mi web con WordPress está afectada por PHP2Shell?

Tu web con WordPress está afectada si la versión de PHP sobre la que funciona es anterior a la versión corregida de su rama, o si es PHP 8.1 o anterior sin un parche del distribuidor. PHP2Shell son dos fallos del propio PHP (CVE-2026-109618 y CVE-2026-109619), así que cualquier web con WordPress sobre un PHP sin parchear está afectada, sean cuales sean su tema, sus plugins o su versión de WordPress.

¿Cómo compruebo en dos minutos si mi WordPress está afectado por PHP2Shell?

Necesitas una cuenta de administrador. No necesitas acceso al servidor.

1. En el escritorio de WordPress, abre Herramientas → Salud del sitio (en inglés, Tools → Site Health).
2. Ve a la pestaña Información y despliega Servidor.
3. Anota la versión de PHP y la SAPI de PHP (cómo se ejecuta PHP, por ejemplo FPM o Apache).
4. Introduce ambas en el comprobador PHP2Shell. Las compara con las versiones corregidas y te dice qué hacer a continuación.

Salud del sitio muestra el PHP que realmente sirve tu web, que es la versión que importa. Un php -v en el servidor puede mostrar otro PHP, el de la línea de comandos. Más formas de verlo: comprobar la versión de PHP.

¿Actualizar WordPress, el tema o los plugins corrige PHP2Shell?

No. PHP2Shell está en el intérprete de PHP sobre el que funciona WordPress. Las actualizaciones del núcleo de WordPress, de los temas y de los plugins no cambian la versión de PHP de tu servidor. Mantenlos al día de todos modos, pero la corrección de PHP2Shell solo llega actualizando PHP a una versión corregida o al paquete parcheado de tu distribuidor.

¿PHP2Shell es lo mismo que wp2shell?

No. wp2shell es otra vulnerabilidad, en el núcleo de WordPress, que se corrige actualizando WordPress. PHP2Shell está en PHP y se corrige actualizando PHP. Los buscadores a veces muestran resultados de wp2shell cuando buscas «php2shell wordpress», así que revisa las dos cosas:

• wp2shell: el núcleo de WordPress está al día (Escritorio → Actualizaciones).
• PHP2Shell: la versión de PHP de Salud del sitio es igual o superior a la versión corregida de su rama.

¿Quién actualiza PHP en mi web con WordPress?

Depende de cómo esté alojada tu web.

Si solo tienes acceso de administrador a WordPress, envía a tu proveedor la solicitud ya redactada de la guía del parche PHP2Shell.

¿Actualizar PHP puede romper mi WordPress?

Pasar a una versión posterior de la misma rama, por ejemplo de 8.3.30 a 8.3.36, solo aporta correcciones y rara vez rompe WordPress. Cambiar de rama, por ejemplo de 7.4 a 8.3, puede romper temas y plugins antiguos. Antes de cambiar de rama, haz una copia de seguridad de la web y pruébalo en una copia de pruebas (staging) si tu proveedor la ofrece. Consulta versión PHP de WordPress para cambiar con seguridad.

¿Un plugin de seguridad o Cloudflare protegen WordPress de PHP2Shell?

Pueden reducir la exposición, pero no son una corrección. Cloudflare informa de que su WAF bloquea patrones de ataque conocidos y de que observó intentos de ataque antes del parche. Un plugin de seguridad de WordPress funciona sobre PHP, así que no puede parchear el intérprete, y PHP ha confirmado al menos una vía de ataque que se ejecuta antes que cualquier código de la aplicación. Hasta que actualices, consulta las medidas temporales para CVE-2026-109618, con las medidas oficiales y sus límites.

¿Cómo sé si ya han entrado en mi WordPress?

Actualizar PHP detiene nuevos ataques, pero no dice nada del pasado. En WordPress, busca:

• Usuarios: cuentas de administrador que no reconozcas (Usuarios → filtrar por Administrador).
• Subidas: archivos .php dentro de wp-content/uploads, que solo debería contener archivos multimedia.
• Plugins imprescindibles (must-use): archivos desconocidos en wp-content/mu-plugins, que no aparecen en la lista normal de plugins.
• Plugins y temas: cualquier cosa que no hayas instalado y archivos modificados recientemente que no hayas tocado.

Si encuentras algo, sigue la lista completa para detectar una intrusión antes de cambiar nada, y cambia todas las contraseñas y las claves de wp-config.php después de la limpieza.

¿Qué deben decir las agencias a sus clientes de WordPress?

Cuéntales lo que has hecho, no solo cuál es el riesgo: qué versión de PHP usa ahora cada web, que es igual o superior a la versión corregida y que has revisado si hay indicios de intrusión. La guía del parche PHP2Shell incluye un aviso para clientes que puedes adaptar, y el comprobador PHP2Shell da un resultado rápido para cada web.