PHP2Shell: qué deben hacer ahora las tiendas online

Qué hacer hoy#

1. 1

   Averigua qué versión de PHP usa tu tienda

   Revisa el panel de tu hosting o, en WordPress, Herramientas, Salud del sitio, Información, Servidor. Anota la versión y si tu proveedor gestiona PHP por ti.

2. 2

   Actualiza PHP o pide a tu hosting que confirme el parche

   Pasa a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o pregunta por escrito a tu proveedor si el servidor tiene las correcciones del 21 de octubre de 2026 para CVE-2026-109618 y CVE-2026-109619.

3. 3

   Haz copias de seguridad antes y después

   Descarga una copia completa de los archivos y la base de datos, y guarda una fuera del servidor, para poder restaurar una versión limpia si algo va mal.

4. 4

   Actualiza la tienda y todos los plugins

   Instala las actualizaciones pendientes de WordPress, WooCommerce o tu plataforma, del tema y de cada plugin o módulo, y elimina los que ya no uses.

5. 5

   Revisa los administradores y cambia las contraseñas

   Elimina las cuentas de administrador que no reconozcas y cambia las contraseñas del panel, el hosting y la base de datos, además de las claves de API y contraseñas de servicios de email guardadas en la tienda.

Qué pasó, en palabras sencillas#

PHP es el lenguaje de programación con el que funcionan muchas tiendas online autoalojadas. El 21 de octubre de 2026, el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619 ^S1. Los investigadores de seguridad llaman a la pareja PHP2Shell ^S5S6. Ambas tienen una puntuación de 9,2 sobre 10 ^S5.

Los fallos están en el propio PHP, no en un plugin concreto. Según el proyecto PHP, afectan a todas las instalaciones de PHP que atienden peticiones web, y en algunas configuraciones de servidor una petición de alguien sin sesión iniciada puede lanzar el ataque antes de que se ejecute el código de la tienda ^S1. Por eso el acceso al panel, un plugin de seguridad o una contraseña fuerte no bastan por sí solos. El proyecto PHP indica que no hay soluciones provisionales completas y que actualizar es la única opción segura ^S1.

Los intentos de ataque empezaron pronto. Datadog informa de que AWS detectó intentos de explotación ya el 17 de octubre de 2026, antes de que la corrección fuera pública ^S6. El 26 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió ambos CVE a su catálogo Known Exploited Vulnerabilities, que recoge fallos con pruebas de explotación activa ^S3S4.

Un problema distinto, CVE-2026-115560, fue publicado por el proyecto PHP el 23 de octubre de 2026. No forma parte de PHP2Shell y no lo corrigen las versiones del 21 de octubre. Solo afecta a aplicaciones que combinan ajustes de sesión poco habituales, la corrección está prevista para la próxima versión regular y, hasta entonces, se recomienda session.upload_progress.enabled = 0 ^S2. Este artículo refleja la situación a 30 de octubre de 2026.

¿Me afecta?#

Si alojas tu propia tienda, es muy probable que funcione con PHP. WordPress es una aplicación PHP ^S7, así que las tiendas WooCommerce funcionan con PHP, igual que Magento (Adobe Commerce), PrestaShop y OpenCart. También cuenta un blog, una página de campaña o un área de clientes en WordPress, aunque la tienda esté en otro sitio.

Para ver tu versión de PHP, mira el panel de tu hosting, donde suele aparecer en un menú de configuración o versión de PHP. En WordPress, ve a Herramientas, luego Salud del sitio, luego la pestaña Información, y abre Servidor. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35 o posteriores en cada rama ^S1.

El número de versión no siempre lo dice todo. Las distribuciones de Linux y los proveedores de hosting recibieron los parches por adelantado y pueden incorporar las correcciones a sus paquetes sin cambiar el número de versión ^S1S6. Si tienes dudas, pregunta directamente a tu hosting si el servidor incluye las correcciones para CVE-2026-109618 y CVE-2026-109619.

Las tiendas en PHP 8.1 o anterior lo tienen más difícil. El proyecto PHP ya no actualiza esas versiones; algunos proveedores ofrecen correcciones adaptadas, y el proyecto PHP remite a ellos o a una actualización ^S1. Ten en cuenta también que PHP 8.2 llega al final de su soporte el 31 de diciembre de 2026 ^S1.

Qué hacer hoy#

La lista numerada de arriba es la versión corta. Algunos detalles hacen cada paso más seguro.

Si gestionas el servidor tú mismo

Actualiza PHP con los paquetes del sistema o desde el panel y reinicia PHP y el servidor web para que todos los procesos usen la versión corregida. La CISA recomienda aplicar el parche de inmediato en los sistemas expuestos a internet y, si un sistema no puede actualizarse pronto, desconectarlo o poner delante un firewall de aplicaciones web como medida temporal ^S3. El proyecto PHP enumera algunos ajustes provisionales, pero advierte que no hacen segura una instalación ^S1.

Si lo gestiona un hosting o una agencia

Envía una petición breve por escrito: «Por favor, confirmen que nuestro servidor tiene las correcciones de PHP para CVE-2026-109618 y CVE-2026-109619 publicadas el 21 de octubre de 2026, e indíquennos la versión o el paquete de PHP que usamos». Guarda la respuesta.

Haz una copia antes de cambiar nada

Haz una copia completa de los archivos y la base de datos y guárdala fuera del servidor. Si la tienda ya estaba comprometida antes del parche, puede que tengas que restaurar una copia limpia más antigua, así que no sobrescribas todavía las copias anteriores.

Actualiza los plugins y revisa los administradores

Actualizar PHP cierra este agujero, pero el resto de la tienda también necesita atención. Actualiza WordPress, WooCommerce o tu plataforma, el tema y cada plugin. En la lista de usuarios, busca cuentas de administrador que no hayas creado. Después cambia las contraseñas y regenera las claves de API y contraseñas SMTP guardadas en la tienda, como las de pagos, envíos y email, porque cualquiera con acceso al servidor pudo leerlas.

Cómo proteger tu lista de clientes y tu reputación de envío#

La base de datos de una tienda guarda más que pedidos. Suele contener el nombre, el email, la dirección de envío y el historial de compras de cada cliente, además de la lista de suscriptores de tu newsletter. Quien puede ejecutar código en el servidor a menudo puede leer esa base de datos y también usar el servidor para enviar emails en tu nombre.

Señales de que algo va mal

• Rebotes o respuestas a emails que nunca enviaste.
• Un aviso de tu hosting por envío de spam o una carga del servidor inusual.
• Cuentas de administrador, plugins o archivos que no añadiste, o cambios en la página de pago.
• Informes DMARC que muestran servidores que no usas enviando con tu dominio.
• Un aumento repentino de quejas por spam, o tu dominio o la IP del servidor en una lista de bloqueo.

La reputación del remitente de tu dominio tarda en construirse y puede caer rápido cuando sale spam en tu nombre. Los registros SPF, DKIM y DMARC indican a los buzones qué servidores pueden enviar por tu dominio, y los informes DMARC muestran quién lo intenta; la explicación de SPF, DKIM y DMARC cubre cada registro y la guía para configurar DMARC explica cómo leer los informes. Si el servidor de tu tienda no debe enviar email de marketing, no lo incluyas en tu registro SPF; así limitas lo que un servidor comprometido puede hacer con tu dominio.

Si los datos de clientes pudieron quedar expuestos

Las obligaciones legales tras una brecha varían según el país. Muchas leyes de protección de datos exigen avisar a la autoridad, a los clientes afectados o a ambos dentro de un plazo, así que revisa las normas de cada mercado donde vendes, o consulta a un abogado, antes de escribir a los clientes. Nuestra guía de leyes de email marketing trata las reglas de consentimiento por mercado; las reglas de notificación de brechas son otro asunto y dependen de la ley local.

Cuando escribas a los clientes, sé claro: qué pasó, qué datos se vieron afectados, qué has hecho y a qué deben prestar atención. Es habitual que lleguen después emails de phishing que se hacen pasar por la tienda, así que diles que nunca pedirás su contraseña ni su número de tarjeta por email. En una marca de ropa como Ninefold, ese mensaje saldría de la dirección de siempre y sin ningún descuento, para que no parezca publicidad.

Reducir lo que puede fallar la próxima vez#

PHP2Shell no será la última actualización urgente. Una tienda fácil de mantener al día es más fácil de proteger.

• Menos plugins. Cada plugin o módulo es código que se ejecuta en tu servidor y necesita actualizaciones. Elimina los que no uses y, cuando puedas, sustituye varios pequeños por uno bien mantenido.
• Una rama de PHP con soporte. Planifica dejar PHP 8.2 antes del fin de su soporte el 31 de diciembre de 2026, y deja ya cualquier versión anterior ^S1.
• Hosting o servicios gestionados. El hosting gestionado, o los servicios alojados para pagos, búsqueda o email, trasladan los parches a un proveedor que se dedica a eso. Pregúntales cuánto tardaron esta vez.
• Actualizaciones automáticas y copias fuera del servidor. Activa las actualizaciones menores automáticas si tu plataforma lo permite y guarda copias periódicas fuera del servidor.
• Un responsable. Decide quién sigue los avisos de seguridad de la tienda: tú, un desarrollador o el hosting.

Dónde encaja Tellnod#

Tellnod es un conector MCP para redactar, previsualizar y enviar email de marketing desde Claude o ChatGPT. Funciona como servicio alojado en la infraestructura de Tellnod, no en el servidor de tu tienda, así que usarlo en lugar de un plugin de email marketing supone un plugin menos que actualizar en el servidor y una credencial de envío menos guardada en la base de datos de la tienda.

Eso reduce lo que hay en tu servidor; no hace que tu tienda sea segura. Sigues teniendo que actualizar PHP y el software de la tienda, y tu lista de clientes pasa a estar también en Tellnod, así que es razonable preguntar a cualquier proveedor cómo la protege. La página de seguridad explica cómo gestiona Tellnod los envíos y los datos. Para probarlo, conecta Tellnod a Claude o ChatGPT; no se envía nada hasta que pulses Confirm en la tarjeta de aprobación.

Preguntas frecuentes#