Alerta de seguridad sobre PHP2Shell: lo que deben hacer ahora los propietarios de sitios web de WordPress

Actualizado el 21 de octubre de 2026

Si el sitio web de tu empresa funciona con WordPress, ponte en contacto hoy mismo con tu proveedor de alojamiento y pregúntale si ya se han aplicado a tu sitio las correcciones de seguridad de PHP publicadas el 21 de octubre. El hecho de que la página de inicio funcione y de que el panel de control de WordPress esté actualizado no garantiza que esta actualización independiente del servidor se haya completado.

El equipo de seguridad de PHP publicó correcciones para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. Estas vulnerabilidades podrían permitir que un atacante ejecute código de forma remota sin necesidad de iniciar sesión. El Aviso oficial de PHP insta a que se realicen actualizaciones de inmediato.

¿Qué significa esto para un sitio web de WordPress?

PHP es un software que se ejecuta en tu servidor y procesa las solicitudes de WordPress. Por lo general, tu proveedor de alojamiento se encarga de administrarlo, mientras que tu panel de control de WordPress se ocupa de otro conjunto de actualizaciones.

Anuncio de WordPress del 21 de octubre explica que estos problemas se encuentran en PHP y no son específicos de WordPress. No se requiere ni se tiene previsto realizar ninguna actualización de WordPress para solucionarlos. Actualizar únicamente tu tema, tus plugins o el núcleo de WordPress no aplica la corrección de PHP.

Para el dueño de un negocio, la pregunta práctica es sencilla: ¿quién es responsable del servidor? ¿Y esa persona o proveedor puede confirmar que la solución ya está en funcionamiento?

¿Qué versiones de PHP incluyen las correcciones?

PHP enumera las siguientes versiones con parches en su aviso del 21 de octubre:

Algunos proveedores de sistemas operativos y de soporte a largo plazo ofrecen correcciones retroactivas: parches de seguridad aplicados a una versión anterior. Pídele a tu proveedor de alojamiento que confirme que el paquete instalado soluciona ambas vulnerabilidades, en lugar de confiar únicamente en el número de versión.

PHP 8.1 y versiones anteriores ya no cuentan con el soporte de seguridad habitual del proyecto PHP. Si tu sitio utiliza una rama más antigua, consulta con tu proveedor sobre la cobertura de parches y la posibilidad de migrar a una versión con soporte. No des por sentado que una instalación más antigua está protegida.

Qué hacer hoy

1. Averigua quién administra tu alojamiento web

Comienza por tu cuenta de alojamiento, el contrato de mantenimiento de tu sitio web o la agencia a cargo de tu sitio. El registro del dominio, la edición del sitio web y el mantenimiento del servidor pueden estar a cargo de diferentes empresas. Dirige la solicitud al equipo que realmente administra PHP.

Si tu empresa cuenta con varios sitios web, enumera cada dominio y su cuenta de alojamiento. Incluye los sitios de prueba accesibles y los portales de clientes independientes para que no se pasen por alto.

2. Verifica la versión de PHP y solicita confirmación

En WordPress, abre Herramientas → Estado del sitio → Información → Servidor. Es posible que el panel de control de tu servicio de alojamiento también muestre la versión de PHP. Usa esta información cuando te comuniques con el servicio de soporte; es un punto de partida, pero no sustituye la confirmación de un parche proporcionado por el proveedor.

Aquí tienes un mensaje que puedes copiar en un ticket de soporte técnico de tu proveedor de alojamiento:

Por favor, confirme si la instalación de PHP que aloja nuestro sitio web ha recibido los parches correspondientes a CVE-2026-109618 y CVE-2026-109619, anunciados el 21 de octubre de 2026. ¿Qué versión de PHP o paquete parcheado por el proveedor se está ejecutando actualmente? ¿Esta confirmación abarca nuestro sitio de producción, los entornos de prueba accesibles y otras aplicaciones PHP en esta cuenta? Si la actualización está pendiente, por favor indique el tiempo estimado de finalización y la acción que recomienda hasta que se complete.

3. Coordinar la actualización y realizar una revisión rápida del funcionamiento

Pide al proveedor de alojamiento o al desarrollador que aplique la solución adecuada sin demora. Pídeles que confirmen que cuentan con una copia de seguridad actualizada y que te expliquen cualquier problema de compatibilidad. Una copia de seguridad facilita la recuperación, pero no previene un ataque.

Después, revisa las secciones del sitio web de las que depende tu negocio:

• Abrir páginas clave en un celular y en una computadora de escritorio.
• Envía una prueba claramente identificada a través del formulario de contacto principal y verifica que llegue a la bandeja de entrada deseada.
• Revisa las solicitudes de citas, las herramientas de reservación y el proceso de pago, según corresponda.
• Inicio de sesión del administrador de pruebas y cualquier inicio de sesión de cliente que ofrezca su sitio.
• Pídele al desarrollador que revise los errores si algo funciona de manera diferente.

Para un bufete de abogados, eso puede significar revisar las solicitudes de consulta. Para una organización médica, puede significar verificar los enlaces de programación de citas y las indicaciones para llegar al lugar. Usa datos de prueba en lugar de información real de clientes o pacientes.

¿Un firewall o un complemento de seguridad resuelve este problema?

No consideres un mensaje del firewall como prueba de que se haya aplicado un parche a PHP. El equipo de PHP afirma que las medidas de mitigación temporales pueden reducir la vulnerabilidad ante vías de ataque específicas, pero no constituyen una solución completa. La actualización sigue siendo necesaria. Pídele a tu proveedor que distinga entre la protección temporal y una actualización completa.

¿Deberías desactivar tu sitio web?

El anuncio de WordPress transmite las recomendaciones nacionales de ciberseguridad que aconsejan considerar desconectar los sistemas cuando no sea posible aplicar una solución inmediata. Si tu proveedor de alojamiento no puede aplicar el parche de inmediato, eleva el problema y pídele que evalúe si es necesario un aislamiento temporal.

Pide al equipo de alojamiento que implemente las medidas de aislamiento necesarias. Un plugin de WordPress para crear una página de mantenimiento no debe considerarse equivalente a dejar fuera de servicio el servidor afectado.

¿Significa esto que tu sitio web ha sido hackeado?

El anuncio de una vulnerabilidad no es prueba de que tu sitio web en particular haya sido comprometido. Sin embargo, el hecho de que un sitio parezca normal no garantiza que sea seguro. Si detectas redirecciones inesperadas, cuentas de administrador desconocidas, páginas alteradas u otro comportamiento sospechoso, pide a tu proveedor de alojamiento o a un especialista en seguridad que investigue el caso y conserve los registros pertinentes. Aplicar un parche e investigar una posible intrusión son tareas distintas.

Lleva un registro de lo que se confirmó

Guarda el ticket de soporte, los dominios afectados, la versión confirmada del parche o paquete, la hora de finalización y los resultados de tus pruebas funcionales. Asigna a alguien para que dé seguimiento a cualquier asunto que aún esté pendiente. De esta manera, una garantía general se convierte en un registro que tu equipo puede utilizar.

El mantenimiento del sitio web funciona mejor cuando las responsabilidades están claras antes de que surja una actualización urgente. Las actualizaciones del alojamiento, el mantenimiento de WordPress, las copias de seguridad y las pruebas de los formularios deben tener cada una una persona a cargo.

¿Necesitas ayuda para determinar cuál es el siguiente paso adecuado para el sitio web de tu empresa? Póngase en contacto con Trendi Marketing junto con la dirección de tu sitio web y el nombre de tu proveedor de alojamiento. Podemos analizar tus necesidades de soporte técnico para el sitio web y la información que debes solicitar al equipo de tu proveedor de alojamiento.

Fuentes oficiales

• WordPress: Actualización de seguridad crítica de PHP — 21 de octubre de 2026
• PHP: Aviso de seguridad y anuncios de lanzamientos del 21 de octubre de 2026

Este artículo refleja las directrices oficiales revisadas el 21 de octubre de 2026. Consulta los avisos a los que se hace referencia y a tu proveedor de alojamiento para conocer las actualizaciones posteriores.