SiteGround: versión de PHP y estado del parche PHP2Shell

¿Mi web en SiteGround está afectada por PHP2Shell?

Tu web en SiteGround está afectada si usa una compilación de PHP anterior a la versión corregida de su rama. PHP2Shell es el nombre de dos fallos críticos del propio PHP, CVE-2026-109618 y CVE-2026-109619, así que afecta a cualquier web PHP, WordPress incluido, no a un proveedor en concreto. En SiteGround, PHP lo instala y lo ejecuta SiteGround, así que la corrección viene de SiteGround. Lo que te toca a ti es confirmar qué versión usa realmente tu web y compararla con estas versiones corregidas:

El comprobador PHP2Shell explica cómo leer el resultado.

¿Ha parcheado SiteGround PHP para PHP2Shell?

SiteGround dice que sus servidores estaban protegidos antes de que PHP publicara la corrección y que las compilaciones corregidas se despliegan por tandas. A 22 de octubre de 2026 no hemos podido confirmar que el despliegue haya terminado.

• Antes de la publicación (21 de octubre de 2026): la entrada del blog de SiteGround SiteGround moves early to protect customers ahead of critical PHP security release (actualizada por última vez a las 11:30 UTC) dice que su equipo de seguridad desplegó reglas de mitigación en todos los servidores y desactivó la funcionalidad afectada en todas las versiones de PHP compatibles. Indica que no tienes que actualizar nada ni cambiar la versión de PHP. La versión en español de esa entrada, publicada a las 16:15 UTC, repite el mismo texto y la misma fecha de actualización de las 11:30 UTC; cuando la consultamos no se había actualizado después de la publicación de PHP.
• Ese mismo día en X: la cuenta oficial de SiteGround publicó el mismo aviso a las 12:37 UTC.
• Después de la publicación: hacia las 16:00 UTC, SiteGround respondió a clientes en X que las actualizaciones estaban en curso, que 8.3.36 ya estaba disponible en la mayoría de sus servidores y que las actualizaciones de paquetes se despliegan en tandas de mantenimiento (respuesta de SiteGround en X).

SiteGround no ha dicho públicamente qué otras ramas están terminadas. Las reglas de mitigación reducen la exposición mientras llegan las compilaciones, pero PHP indica que solo actualizar es una solución completa.

¿Cómo veo mi versión de PHP en SiteGround?

La ves en Site Tools. Según el artículo de ayuda de SiteGround ¿Qué es PHP gestionado y cómo activarlo? (versión en español de What Is Managed PHP Service and How to Enable It?):

1. Entra en tu cuenta de SiteGround y abre la pestaña Sitios web.
2. Elige tu web y haz clic en Site Tools.
3. Ve a Desarrolladores → Gestor PHP.
4. Mira el ajuste actual en Gestor PHP → Versión PHP.

Para ver la compilación exacta, y no solo la rama, mira lo que indica la propia web. En WordPress, en Herramientas → Salud del sitio → Información → Servidor. El comprobador de versión de PHP explica qué significa el número.

¿Cómo cambio a una versión corregida en SiteGround?

En SiteGround no instalas tú una compilación corregida: SiteGround actualiza las compilaciones de sus servidores y tú eliges qué versión usa tu web. Para cambiarla, abre Desarrolladores → Gestor PHP, haz clic en el icono del lápiz Cambiar la versión de PHP, elige una opción y haz clic en Confirmar (ayuda de SiteGround).

SiteGround ofrece dos modos. Con PHP gestionado, SiteGround elige la versión y la actualiza con el tiempo. Con Cambiar manualmente la versión PHP, tu web se queda en la versión que elegiste hasta que la cambies. Para PHP2Shell importa más estar en una rama con soporte (8.2 a 8.5) que SiteGround ya haya recompilado que la rama concreta que elijas. Haz una copia de seguridad y prueba en el entorno de pruebas antes de pasar a otra rama.

¿Qué pasa con WordPress en SiteGround?

Las webs WordPress en SiteGround reciben la corrección de PHP2Shell solo a través de PHP. Actualizar WordPress, temas o plugins no la aplica. Tras el despliegue de SiteGround, abre Herramientas → Salud del sitio → Información → Servidor en cada web y compara la versión de PHP con la tabla de arriba. Las webs de una misma cuenta pueden usar versiones distintas, así que revísalas todas. Más detalles: PHP2Shell y WordPress.

¿Qué le pregunto al soporte de SiteGround?

Escribe al soporte de SiteGround solo si tu web sigue mostrando una versión anterior a la corregida cuando el despliegue por tandas ya debería haber llegado a tu servidor. Pregunta:

1. Qué compilación exacta de PHP usa tu web.
2. Si incluye la corrección de CVE-2026-109618 y CVE-2026-109619.
3. Si se reiniciaron los procesos de PHP después de actualizar.
4. Si aún no está, cuándo toca la tanda de mantenimiento de tu servidor.

Tienes un mensaje listo en la guía del parche de PHP2Shell. Abre los tickets solo desde tu cuenta de SiteGround e ignora los correos «de SiteGround» que te pidan iniciar sesión desde un enlace.

¿Y si mi web en SiteGround usa una versión antigua de PHP?

Las versiones antiguas de PHP son el caso más difícil en cualquier proveedor. PHP no publica versiones nuevas de 8.1 ni anteriores, solo parches mínimos del código fuente para 7.4, 8.0 y 8.1. La entrada de SiteGround habla de mitigaciones en «todas las versiones de PHP compatibles» sin enumerarlas. A 22 de octubre de 2026 no hemos podido confirmar si SiteGround ofrece compilaciones corregidas de las ramas antiguas. Un número como 7.4.33 no lo demuestra ni en un sentido ni en otro, así que pregunta a soporte y planifica el paso a una rama con soporte: consulta PHP fin de soporte.