El 21 de octubre de 2026 PHP, el lenguaje sobre el que funcionan WordPress y buena parte de los sitios web, publicó un parche de emergencia para dos fallas críticas: CVE-2026-109618 y CVE-2026-109619, conocidas como php2shell. Con una petición web armada a propósito, un atacante puede ejecutar código en el servidor sin iniciar sesión. Las dos tienen puntaje 9,2 de 10.
Qué pasó
Los detalles se filtraron en redes un día antes del anuncio oficial. Hubo ataques reales desde el mismo 21 de octubre, al día siguiente ya circulaban exploits públicos y el 26 la agencia de ciberseguridad de Estados Unidos (CISA) sumó ambas fallas a su lista de vulnerabilidades explotadas activamente. En Europa, algunos gobiernos bajaron sus sitios de forma preventiva mientras actualizaban.
Qué significa en Chile
El CSIRT Nacional de la ANCI emitió una alerta el mismo 21 de octubre y el 26 publicó una guía para mitigar la falla. La guía nombra a WordPress, Joomla y Drupal entre las aplicaciones afectadas y es clara con las versiones antiguas: los sistemas con PHP 8.1 o inferior son vulnerables y no van a recibir parche.
Hasta ahora no se han reportado sitios chilenos comprometidos. Pero en Chile muchos sitios de empresas, tiendas y marcas están hechos en PHP, varios de ellos en WordPress sobre un hosting compartido, y en mi experiencia hay muchos que llevan años sin que nadie revise qué versión usan. Estos ataques son automáticos y prueban cualquier servidor sin parchar, sea de una empresa grande o de una pyme.
Si alguien entra a tu servidor y ahí hay datos de clientes, el problema también es legal: cuando la Ley 21.719 entre en vigencia, vas a tener que proteger los datos personales que recoges y avisar si se filtran.
Qué versión necesitas
Las versiones corregidas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Lo que importa es el último número: un sitio en "PHP 8.3" puede estar en 8.3.30 y seguir vulnerable. En WordPress lo ves en Herramientas, Salud del sitio, Información, Servidor. Actualizar WordPress o los plugins no arregla esto, porque la falla está en PHP. En un hosting compartido, PHP lo instala la empresa de hosting: tú eliges la versión y ellos aplican el parche. Si ves un número menor, escríbeles hoy.
PHP publicó algunos ajustes de configuración como medida temporal, pero aclara que reducen el riesgo sin eliminarlo. La única solución completa es actualizar.
Si tu sitio usa PHP 8.1 o una versión más antigua
PHP 8.1 y las anteriores no tienen una versión oficial corregida. Si no se puede actualizar, tanto el CSIRT como CISA recomiendan sacar el sitio de internet hasta hacerlo.
PHP 8.2 sí recibió el parche, pero deja de tener soporte el 31 de diciembre de 2026. Si vas a subir de versión de todas formas, conviene ir directo a 8.3 o 8.4, que es lo que WordPress recomienda hoy.
Por qué no basta con cambiar la versión
En la mayoría de los hostings el cambio es un selector. Lo que puede fallar es lo que hay encima: temas antiguos, plugins abandonados o código a medida escrito para PHP 7. Al subir de versión, eso puede mostrar errores o dejar páginas en blanco.
Así lo hago yo:
- Copio el sitio a un entorno de prueba con la versión nueva de PHP.
- Reviso los registros de errores y las páginas que más importan: portada, formularios, carro y pagos.
- Corrijo lo que falla, o reemplazo los plugins abandonados por otros que sigan mantenidos.
- Hago un respaldo y cambio la versión en producción, con un plan para volver atrás si algo sale mal.
