Versión PHP de WordPress: compruébala y actualízala por PHP2Shell

¿Quieres saber si tu web con WordPress está afectada por PHP2Shell, y no solo cómo cambiar PHP? Empieza por PHP2Shell y WordPress.

¿Cómo veo la versión de PHP de mi WordPress?

Necesitas una cuenta de administrador.

1. En el escritorio de WordPress, abre Herramientas → Salud del sitio (en inglés, Tools → Site Health).
2. Haz clic en la pestaña Información y despliega Servidor.
3. Mira la versión de PHP y la SAPI de PHP (cómo se ejecuta PHP, por ejemplo FPM/FastCGI o Apache).

Introduce ambas en el comprobador de versión PHP para saber si PHP2Shell afecta a tu web.

¿Mi web con WordPress está afectada por PHP2Shell?

Depende de la versión de PHP, no de la versión de WordPress. WordPress funciona sobre PHP, y PHP2Shell es un fallo del propio PHP. Si la versión de PHP que aparece en Salud del sitio es anterior a la primera versión corregida de su rama, la web está afectada, salvo que tu proveedor use un paquete de una distribución de Linux que incluya la corrección mediante backport.

¿Basta con actualizar WordPress y los plugins para PHP2Shell?

No. Las actualizaciones del núcleo de WordPress, de los temas y de los plugins no tocan el intérprete de PHP que hay debajo, y PHP2Shell solo se corrige actualizando el propio PHP. Mantén WordPress, los temas y los plugins al día de todos modos, porque esas actualizaciones corrigen otros problemas.

¿Cómo actualizo la versión de PHP de WordPress?

Depende de tu hosting:

• Hosting compartido o WordPress gestionado: tu proveedor actualiza PHP. Algunos te dejan elegir la versión en su panel; elige una corregida de la misma rama. Si no, envíales la solicitud de la guía del parche PHP2Shell.
• cPanel o Plesk: cambia la versión de PHP del dominio y confírmala en Salud del sitio. Consulta cambiar la versión de PHP en cPanel.
• Tu propio servidor: actualiza los paquetes de PHP y reinicia PHP-FPM o Apache. Consulta actualizar PHP en Ubuntu.
• Docker: reconstruye con una imagen de PHP corregida. Consulta imagen Docker de PHP.

¿Una versión de PHP más nueva puede romper mi WordPress?

Moverse dentro de la misma rama (por ejemplo, a la última versión de 8.3) solo aporta correcciones y rara vez da problemas. Saltar de rama, por ejemplo de 7.4 a 8.3, puede romper plugins y temas antiguos. Antes de cambiar de rama, haz una copia de seguridad completa, usa una copia de pruebas (staging) si tu proveedor la ofrece y actualiza antes los plugins y los temas. La propia guía de WordPress recomienda lo mismo.

Salud del sitio sigue mostrando la versión de PHP antigua después de actualizar. ¿Por qué?

Salud del sitio indica el PHP que sirvió esa página. Si no ha cambiado, el nuevo PHP no se ha aplicado a este dominio o los procesos de PHP aún no se han reiniciado. Revisa el ajuste de PHP del dominio y pide a tu proveedor que confirme el reinicio. Un paquete con backport del proveedor también puede mantener el número antiguo; pregunta qué aviso de seguridad incluye la corrección.

¿Un plugin de modo mantenimiento protege WordPress de PHP2Shell?

No. El modo mantenimiento es una función de WordPress que funciona sobre PHP, y algunas vías de ataque actúan antes de que se ejecute el código de WordPress. Si todavía no puedes actualizar PHP, pide a tu proveedor que bloquee el tráfico antes de que llegue a PHP o desconecta la web temporalmente.

¿PHP2Shell es lo mismo que wp2shell?

No. wp2shell es el nombre de otra vulnerabilidad crítica, en el núcleo de WordPress, que se corrige actualizando WordPress. PHP2Shell se corrige actualizando PHP. Una web con WordPress necesita tener las dos cosas al día. Más información en la página principal del comprobador PHP2Shell.

¿Qué fuentes respaldan esta página?

• WordPress.org: pantalla Salud del sitio
• WordPress.org: actualizar PHP
• The PHP Group: aviso de seguridad
• cPanel: MultiPHP Manager
• Plesk: ajustes de PHP
• Rapid7: wp2shell, otra vulnerabilidad del núcleo de WordPress