El 21 de octubre de 2026 el proyecto PHP publicó dos fallas de seguridad críticas, la CVE-2026-109618 y la CVE-2026-109619, que la industria ya llama php2shell. Esta vulnerabilidad PHP permite que un atacante ejecute código en tu servidor sin iniciar sesión. No necesita tu contraseña ni tu usuario de WordPress.
Si tu sitio web, tu tienda en línea o tu sistema interno corre sobre PHP, esto te afecta. Y en Panamá eso incluye a la gran mayoría de sitios hechos con WordPress, WooCommerce, Joomla, Magento o Laravel.
Qué es php2shell y por qué es tan grave para tu negocio
Ambas fallas tienen una calificación de 9.2 sobre 10 en la escala CVSS v4.0. Es el rango que se reserva para los problemas que hay que atender el mismo día.
Qué puede hacer un atacante
Ejecutar código en tu servidor significa, en la práctica, tener el control del sitio. Con ese acceso un atacante puede:
- Instalar malware o redirigir a tus visitantes a páginas fraudulentas.
- Robar datos de clientes, formularios y pedidos.
- Usar tu servidor para enviar spam, lo que manda tus correos a la carpeta de no deseados.
- Hacer que Google marque tu sitio como peligroso y lo saque de los resultados.
- Tumbar el sitio y dejarte días sin vender.
Limpiar un servidor hackeado cuesta mucho más, en dinero y en reputación, que actualizarlo a tiempo.
Qué servidores están afectados
Según el aviso oficial de PHP, toda instalación de PHP que sirve páginas web está en riesgo. Eso incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los servidores con Apache mod_php son los de mayor riesgo.
Están afectadas todas las versiones anteriores a estas, que son las corregidas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Si tu servidor usa PHP 8.1 o una versión más vieja, el problema es mayor: esas versiones ya no reciben actualizaciones oficiales. Hay parches mínimos para 7.4, 8.0 y 8.1, pero la salida recomendada es migrar a una versión con soporte.
Ya hay código de ataque circulando
Firmas de seguridad como Tenable reportan que ya circula públicamente código que dice explotar estas fallas. Otras reportan ataques reales. Cuando una vulnerabilidad de este nivel se vuelve pública, los bots empiezan a buscar servidores sin parchar en cuestión de horas.
Si tu hosting te mandó un aviso, la tarea es tuya
Si tienes un servidor VPS o dedicado con proveedores como GoDaddy, HostGator o Bluehost, el mensaje es claro: si administras tu propio servidor, tú tienes que aplicar la actualización. El proveedor no lo hace por ti.
Si recibiste un correo con el asunto "Action required: update PHP on your server", tu servidor está en esa lista.
Qué hay que hacer para cerrar la vulnerabilidad PHP
La única solución completa es actualizar. El proceso correcto es este:
- Actualizar PHP a la versión corregida de su rama, desde los paquetes de tu distribución Linux o de tu panel (cPanel, Plesk, CloudLinux, HestiaCP).
- Reiniciar PHP-FPM o el servidor web para que todos los procesos carguen la corrección. Sin este paso el parche no protege.
- Verificar que cada sitio siga funcionando: páginas, formularios, carrito y panel de administración.
- Revisar señales de intrusión por si el servidor ya fue atacado antes del parche.
Un detalle que se pasa por alto: si tu servidor instala PHP desde el repositorio comunitario Remi, ahí todavía no estaban los paquetes corregidos al momento del aviso. Hay que cambiar de origen con cuidado para no romper los sitios.
El aviso oficial de PHP incluye ajustes temporales de configuración para reducir el riesgo mientras se actualiza. Lo dice el propio anuncio de php.net: esos ajustes no protegen del todo. Son un parche de emergencia, no la solución.
Ojo con PHP 8.2: le quedan semanas
PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026. Si hoy actualizas a 8.2.35, en dos meses vas a estar otra vez sin protección. Conviene aprovechar la intervención para planificar el salto a 8.3 o 8.4.
Cómo te ayuda OPW: servidor parchado en 2 horas o menos
En OPW administramos servidores Linux y sitios WordPress todos los días. Si no tienes un equipo técnico, o el tuyo no da abasto, nos encargamos de cerrar la vulnerabilidad:
- Corrección de la versión de PHP a la versión parchada, en todas las versiones instaladas en el servidor.
- Reporte de hallazgos: qué encontramos, qué corregimos y qué recomendamos después.
Tiempo de resolución: máximo 2 horas desde que se confirma la contratación y recibimos el acceso al servidor.
Tarifa por servidor y por grupo de servidores
Precio único, sin mensualidad:
- 1 servidor: $150 USD. Comprar ahora
- De 2 a 5 servidores: $120 USD por servidor. Comprar ahora
- 6 servidores o más: $100 USD por servidor. Comprar ahora
Eliges la cantidad de servidores al pagar. Apenas se confirma el pago te contactamos para pedir el acceso, y desde ahí corre el plazo de 2 horas.
Aplica a servidores VPS o dedicados con Linux y panel cPanel/WHM, Plesk, HestiaCP o sin panel. Si tu servidor usa PHP 8.1 o anterior y hay que migrar de versión, lo revisamos contigo antes y te damos el alcance por escrito.
Si tu sitio ya fue hackeado
Si el reporte de hallazgos muestra que el servidor ya fue atacado, la limpieza del hackeo se cotiza aparte, con una tarifa reducida para quienes contrataron la corrección de PHP. El costo depende del tamaño del sitio y arranca en $75 USD para sitios pequeños.
Si prefieres no volver a pasar por esto, nuestro plan de mantenimiento web en Panamá incluye las actualizaciones de seguridad como parte del servicio mensual.
No esperes a que tu sitio aparezca hackeado
Cada hora que un servidor pasa sin el parche es una hora de exposición. Escríbenos por WhatsApp al 6077-8454, dinos cuántos servidores tienes y en menos de 2 horas tu servidor queda protegido.
Diseño web, software de gestión y marketing digital para empresas panameñas desde 2008.
