La empresa de seguridad Wordfence publicó una actualización sobre PHP2Shell en la que afirma que, a 28 de octubre de 2026, no tiene constancia de sitios WordPress comprometidos por esta vulnerabilidad. Aunque no se han confirmado ataques exitosos contra instalaciones de WordPress, el riesgo persiste mientras existan versiones de PHP vulnerables en servidores web.
Qué es PHP2Shell y por qué importa
PHP2Shell es el nombre que han dado investigadores a una vulnerabilidad que permite a un atacante ejecutar código remoto en servidores que ejecutan versiones afectadas de PHP. La explotación de este tipo de fallos puede dar acceso a una “shell” remota —es decir, la capacidad de ejecutar comandos en el servidor— y, por tanto, comprometer sitios web, cuentas de hosting o el propio servidor.
Qué aconseja Wordfence: actualizar PHP y reiniciar
Wordfence indica que la medida correcta no es actualizar WordPress, sino actualizar el propio PHP a una versión en la que la vulnerabilidad esté corregida. Además, enfatiza que, tras instalar la actualización de PHP en el sistema operativo o en el paquete del proveedor, es necesario reiniciar el servicio PHP (por ejemplo, reiniciando PHP-FPM o el proceso php-cgi según la configuración) para que el parche entre en vigor. Actualizar únicamente los ficheros de la aplicación no cambia la versión del intérprete PHP que sigue ejecutándose en memoria.
Quiénes se ven afectados y qué deben hacer los administradores
- Servidores con versiones vulnerables de PHP: deben aplicar la actualización de PHP proporcionada por la distribución o el proveedor de empaquetado cuanto antes.
- Entornos gestionados por paneles o proveedores: verifique si su proveedor ha desplegado el parche y solicite el reinicio del servicio PHP si no se ha realizado automáticamente.
- Administradores de WordPress: además de mantener WordPress y sus extensiones actualizadas, comprueben la versión de PHP que ejecuta su servidor y coordinen la actualización con el administrador del sistema o el proveedor de hosting.
Cómo verificar y mitigar riesgos
Wordfence recuerda que la comprobación de la versión de PHP normalmente se hace desde la línea de comandos con php -v o revisando la información del servidor en el panel de control. Tras actualizar, confirme que el proceso PHP ha sido reiniciado y que la versión en memoria coincide con la versión parcheada.
Otras prácticas recomendadas incluyen revisar los registros del servidor para detectar actividad inusual, comprobar integridad de archivos del sitio y disponer de copias de seguridad recientes antes de aplicar cambios. En entornos compartidos o con múltiples instancias, asegúrese de que todas las instancias de PHP se han actualizado y reiniciado.
Estado actual y seguimiento
Según Wordfence, no hay confirmación pública de compromisos de sitios WordPress por PHP2Shell a la fecha indicada. Sin embargo, la existencia de una vulnerabilidad con capacidad de ejecución remota hace que sea prudente aplicar los parches cuanto antes. Mantenerse atento a comunicaciones de seguridad de proveedores de PHP, distribuciones Linux y proyectos relacionados (por ejemplo, paneles o servidores de aplicaciones) es fundamental para una respuesta rápida.
Nota: actualizar WordPress no sustituye a la actualización de PHP; son capas distintas del stack y ambas deben mantenerse al día.
Lee también:
- WordPress 7.1.4 corrige 22 fallos y cierra una ventana de RCE sin cuenta en actualizaciones
- LiteSpeed Cache para WordPress corrige una vulnerabilidad de exposición de datos sensibles (CVE-2026-114190)
Fuente: Blog – Wordfence
