PHP2Shell: el fallo crítico de PHP que afecta a las tiendas online
El 21 de octubre de 2026 PHP publicó el arreglo de dos fallos críticos, conocidos como «PHP2Shell», que permiten ejecutar código en un servidor sin contraseña. Afectan a cualquier tienda que funcione con PHP, como WooCommerce, PrestaShop o Magento, y ya hay herramientas públicas para explotarlos.
A quién afecta
Tiendas online que funcionan con PHP en su propio alojamiento: WooCommerce (WordPress), PrestaShop, Magento (Adobe Commerce) y Shopware, entre otras.
Las tiendas en Shopify no tienen que hacer nada: Shopify gestiona sus propios servidores.
Qué hacer
- Comprobar qué versión de PHP usa la tienda (más abajo se explica dónde verla en cada plataforma).
- Pedir hoy al proveedor de alojamiento que la actualice a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama que use.
- Si la tienda usa PHP 8.1 o anterior, pedir los parches de compatibilidad y planificar el cambio a una versión con soporte.
- Si no se puede actualizar enseguida, valorar mostrar una página de mantenimiento estática servida sin PHP.
- Revisar si hay usuarios administradores, archivos modificados o pedidos que no se reconocen.
Qué es PHP2Shell
PHP2Shell es el nombre con el que se conocen dos vulnerabilidades del propio lenguaje PHP, registradas como CVE-2026-109618 y CVE-2026-109619. El equipo de seguridad de PHP las califica con 9,2 sobre 10 (CVSS 4.0). No dependen de un plugin ni de un tema: el fallo está en el motor que ejecuta la tienda, por eso actualizar WooCommerce, PrestaShop o sus módulos no lo corrige.
La primera aparece cuando PHP se queda sin memoria mientras procesa una petición y deja datos a medio preparar que después trata como válidos. La segunda permite que restos de una petición anterior sobrevivan en el mismo proceso y los reutilice la siguiente. Aprovechadas juntas, permiten ejecutar código en el servidor sin iniciar sesión.
Por qué es urgente para una tienda online
Los detalles se filtraron el 20 de octubre, un día antes del arreglo oficial, y ya circulan descripciones técnicas y una herramienta para explotar el fallo. La firma de seguridad Sansec confirmó que el ataque funciona sin contraseña contra Magento 2.4.9 y contra otras diez aplicaciones PHP, y advierte que espera ataques masivos.
En una tienda, que alguien pueda ejecutar código en el servidor significa acceso a los pedidos y a los datos de los clientes, y la posibilidad de modificar el proceso de pago.
Qué versiones de PHP tienen arreglo
| Rama de PHP | Versión corregida | Situación |
|---|---|---|
| 8.5 | 8.5.12 | Arreglo oficial |
| 8.4 | 8.4.27 | Arreglo oficial |
| 8.3 | 8.3.36 | Arreglo oficial |
| 8.2 | 8.2.35 | Arreglo oficial |
| 8.1, 8.0 y 7.4 | Sin versión oficial | Existen parches de compatibilidad; conviene cambiar de versión |
| 7.3 y anteriores | Sin arreglo | Cambiar a una versión con soporte |
Cómo saber qué versión de PHP usa la tienda
El panel del alojamiento (cPanel, Plesk u otro) suele mostrarla en su apartado de PHP. Las plataformas de tienda también la muestran en su administración: WooCommerce en «Estado del sistema» y PrestaShop en «Parámetros avanzados → Información». Las noticias por plataforma detallan el camino y qué versiones de PHP admite cada una, que es lo que decide cómo actualizar.
El modo mantenimiento no protege
Según Sansec, los modos de mantenimiento de WordPress o de Magento siguen pasando cada visita por PHP, así que no frenan el ataque. Si la actualización va a tardar, la alternativa es servir una página estática sin PHP mientras tanto.
Qué pasa con la conexión con SendSeiPro
SendSeiPro no usa PHP y no instala ningún módulo en la tienda: se conecta a WooCommerce y a PrestaShop a través de sus APIs. Actualizar PHP no exige cambiar nada en SendSeiPro, y la sincronización de pedidos sigue funcionando igual.
Preguntas frecuentes
¿Qué es PHP2Shell?
Es el nombre de dos fallos críticos de PHP (CVE-2026-109618 y CVE-2026-109619), corregidos el 21 de octubre de 2026, que permiten ejecutar código en un servidor sin contraseña.
¿Una tienda en Shopify está afectada por PHP2Shell?
No. Shopify gestiona sus propios servidores y las tiendas no ejecutan PHP propio, así que no hay nada que actualizar.
¿Actualizar WooCommerce o PrestaShop corrige PHP2Shell?
No. El fallo está en PHP, no en la tienda. Hay que actualizar PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, algo que normalmente hace el proveedor de alojamiento.
¿Qué hacer si la tienda usa PHP 7.4 u 8.1?
Esas versiones ya no reciben arreglos oficiales. Existen parches de compatibilidad para 7.4, 8.0 y 8.1 que el alojamiento puede aplicar, pero lo recomendable es pasar a una versión con soporte.
¿El modo mantenimiento protege la tienda de PHP2Shell?
No. Según Sansec, el modo mantenimiento de WordPress o Magento sigue pasando cada visita por PHP. Solo protege una página estática servida sin PHP.