Lo que pasó, en una frase
El 21 de octubre de 2026 se publicaron arreglos para dos fallos graves en PHP, el programa sobre el que funcionan WordPress y la mayoría de páginas web y tiendas online. Los fallos permiten que un desconocido, sin usuario ni contraseña, tome el control del servidor donde está tu sitio.
Los investigadores los bautizaron PHP2Shell. Su nombre técnico es CVE-2026-109618 y CVE-2026-109619, y los dos tienen una calificación de gravedad de 9,2 sobre 10.
Ese mismo día, Node.js, otra tecnología muy usada en aplicaciones web y chatbots, también publicó arreglos para diez fallos propios.
No hace falta entender los detalles técnicos para protegerte. Lo que sí necesitas es saber si tu sitio está expuesto y qué pedirle a quien lo administra.
Lo que pasó, día a día
- 20 octPHP avisa que viene un arregloSin dar detalles
- 20–21 octAparecen los primeros ataquesAntes de que saliera el arreglo
- 21 octSalen los arreglos de PHP y Node.jsHay que actualizar ya
- 23 octPHP revela otro falloSin arreglo; se controla con un ajuste
El fallo del 23 de octubre (CVE-2026-115560) solo afecta a sitios con una configuración poco común, y PHP considera poco probable que se aproveche. Su arreglo llegará en la próxima actualización de rutina de PHP.
Sobre si ya hay ataques reales, las fuentes no coinciden. Cloudflare y otras empresas de seguridad reportan ataques; la agencia de ciberseguridad de Estados Unidos (CISA) no había confirmado ninguno el 21 de octubre. Para tu empresa la conclusión es la misma: hay que actualizar ya, no esperar a ver qué pasa.
¿Me afecta?
Piensa en tu página web como un edificio de tres pisos. El fallo está en el del medio:
Actualizar WordPress no basta: hay que actualizar PHP.
Por eso actualizar WordPress o sus plugins no sirve en este caso. El problema no está en WordPress, sino debajo. Investigadores ya demostraron el ataque contra WordPress, Magento, Drupal, Joomla, Laravel, Nextcloud y phpMyAdmin, entre otros.
Una forma rápida de ubicarte:
| Tu caso | ¿Te afecta? | Quién lo resuelve |
|---|---|---|
| Página o tienda en WordPress, WooCommerce, Magento, Joomla o Drupal | Sí | Tu proveedor de hosting o quien administre el servidor |
| Sistema hecho a medida en PHP (facturación, inventario, intranet) | Sí | Tu proveedor de desarrollo o tu área de sistemas |
| Tienda en una plataforma cerrada como Shopify o Wix | No administras el servidor | La plataforma; no tienes que hacer nada |
| Aplicación o chatbot en Node.js (incluye n8n instalado en tu servidor) | Por el fallo de Node.js, revisar | Quien administre la aplicación |
Si no sabes en qué está hecha tu página, esa es justamente la primera pregunta para tu proveedor.
Qué hacer hoy
No necesitas tocar nada tú mismo. Escríbele hoy a tu proveedor de hosting o a quien administre tu sitio, y hazle estas cinco preguntas:
- ¿Mi sitio usa PHP? ¿Qué versión tiene?
- ¿Ya la actualizaron a una versión con el arreglo?PHP 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12O una versión de tu sistema operativo que ya incluya el arreglo.
- ¿Aplicaron el ajuste para el fallo del 23 de octubre?session.upload_progress.enabled = 0Desactiva una opción de PHP mientras sale el arreglo definitivo.
- Si usan Node.js, ¿ya está actualizado?Node 22.23.4 · 24.22.1 · 26.12.1Si corre en contenedores, hay que reconstruirlos: actualizar solo el servidor no basta.
- ¿Revisaron si hubo accesos extraños desde el 20 de octubre?Un sitio actualizado tarde pudo ser atacado antes: usuarios nuevos, archivos modificados, movimientos raros.
Puedes copiar estas preguntas tal cual en un correo. Un buen proveedor te responderá en un día con un "sí, ya está" y la versión instalada.
Si tu sitio tiene una versión vieja de PHP
PHP 8.1 y las versiones anteriores ya no reciben arreglos oficiales. Para ellas solo se publicaron parches mínimos que alguien tiene que aplicar a mano, y no habrá más.
Si tu sitio o tu sistema interno todavía funciona sobre una de esas versiones, este es el momento de planear la migración. No hace falta rehacerlo todo desde cero: en cómo hacer confiable un sistema viejo sin rehacerlo cuento cómo se hizo en un caso real.
Lo que este caso enseña
Tu página es tan segura como la capa más vieja que tiene debajo. Mantener WordPress al día es necesario, pero no suficiente: el servidor, PHP y todo lo demás también necesitan mantenimiento.
Saber quién se encarga de qué vale oro. Las empresas que respondieron rápido en octubre no fueron las que más saben de tecnología, sino las que tenían claro a quién llamar y qué preguntar.
Las actualizaciones de seguridad no son opcionales ni pueden esperar al próximo mes. Entre que se publica un arreglo y que alguien empieza a atacar a quien no actualizó pueden pasar días, a veces horas.
¿No sabes en qué está tu sitio ni quién lo administra?
Es más común de lo que parece: la página la hizo alguien hace años, el hosting lo paga contabilidad y nadie tiene las claves a mano.
En una conversación de 30 minutos se puede aclarar:
- En qué tecnología está tu sitio y si este fallo te afecta.
- Quién tiene acceso al servidor y quién debería instalar los arreglos.
- Qué tan atrasadas están las versiones y qué tan urgente es ponerlas al día.
Con eso claro, la próxima vez que salga una noticia como esta sabrás exactamente a quién escribirle.
Fuentes: aviso de seguridad de PHP, arreglos de seguridad de Node.js del 21 de octubre, CERT-EU, aviso 2026-018 y BleepingComputer.
