PHP2Shell: webs protegidas antes del parche oficial

En Arcapolis la seguridad es una obsesión, y esta semana se ha visto por qué. Si tu web está con nosotros, no tienes que hacer nada.

Qué ha pasado

El 20 de octubre, el equipo de PHP anunció una actualización de seguridad urgente. PHP es el lenguaje sobre el que funcionan WordPress y cerca del 70 % de las webs con lenguaje de servidor conocido. La actualización corrige dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell.

Son fallos graves, con una puntuación de 9,2 sobre 10 en la escala CVSS:

• Permiten ejecutar código en el servidor de forma remota, sin necesidad de contraseña.
• Pueden filtrar datos de la memoria del servidor, como contraseñas, tokens o claves de API.
• Los investigadores han demostrado ataques funcionales contra WordPress, Drupal y Joomla.

Además, los detalles se filtraron antes de la publicación coordinada, lo que dio ventaja a los atacantes. La corrección oficial (PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35) se publicó el 21/10/2026. Organismos como la agencia de ciberseguridad de EE. UU. (CISA) y Google Cloud han pedido actualizar de inmediato.

Qué hemos hecho

Nuestras webs estaban protegidas antes de que existiera la solución oficial.

Nuestro hosting está en SiteGround, que funciona sobre la infraestructura de Google Cloud y tiene un equipo de seguridad especializado en WordPress. La mañana del 21 de octubre, horas antes de que se publicara el parche oficial, SiteGround ya había aplicado reglas de protección en todos sus servidores. Esas reglas desactivaron las funciones afectadas en todas las versiones de PHP.

Todas las webs administradas por ARCAPOLIS están actualizadas en todos sus componentes: PHP, WordPress, Plugins,etc.

Por qué no usamos “la última versión” de PHP

Podríamos activar PHP 8.6 en dos clics, pero esa versión todavía está en fase de pruebas y no será estable hasta noviembre. Nuestra norma es clara: solo versiones estables administradas y apoyadas por la comunidad profesional.

Por eso usamos la versión de PHP gestionada por SiteGround, que ellos mismos personalizan, mantienen y actualizan a medida que avanza la última versión estable. Ahora mismo es PHP 8.2.35, que es precisamente una de las versiones que corrigen PHP2Shell.

Y esto es solo una parte

• Atención personalizada
• Varias capas de seguridad en el servidor y en la aplicación
• CDN
• Firewall inteligente
• Escaneos de malware a tiempo real
• WordPress, temas y plugins siempre actualizados con versiones estables
• Backups completos a demanda
• Copias de seguridad automáticas
• Plan de restauración de emergencia
• Mantenimiento y supervisión automatizados
• Cada web aislada e independiente del resto

Sobre Arcapolis

Tras 25 años en el sector, desarrollamos y gestionamos directamente más de 400 instalaciones de WordPress. Solo trabajamos con webs 100% administradas por nosotros.

¿Tu web no está con nosotros y no sabes qué versión de PHP usa? Escríbenos y la revisamos.