Publicado el 23/10/2026
El 21 de octubre se publicaron dos fallos de seguridad graves en PHP, conocidos como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). En el servidor de idweb ya hemos aplicado las actualizaciones correspondientes y una medida de protección adicional. Te contamos qué hemos hecho y qué te recomendamos revisar.
PHP es el lenguaje con el que funcionan casi todas las webs de internet, incluidas las hechas con WordPress. El 21 de octubre, los responsables de PHP publicaron una actualización de seguridad urgente para corregir dos fallos con una puntuación de gravedad de 9,2 sobre 10.
El problema es serio porque estos fallos podían permitir a un atacante ejecutar código en el servidor sin necesidad de usuario ni contraseña. Las versiones de PHP que los corrigen son la 8.2.35, 8.3.36, 8.4.27 y 8.5.12, o posteriores.
Estamos con ello desde el primer día. Estos son los pasos que hemos dado:
Después de cada cambio hemos revisado las webs, y lo que hemos comprobado funciona con normalidad.
Con todo esto, las webs alojadas con nosotros están, en principio, protegidas frente a estos dos fallos. Aun así, seguimos pendientes por si aparece información nueva.
Si miras la versión de PHP de tu web y ves, por ejemplo, una 8.1, no quiere decir que no esté actualizada.
Las versiones 8.1, 8.0 y 7.4 ya no reciben actualizaciones oficiales de PHP. En estos casos, el fabricante de nuestro panel de control ha preparado sus propias versiones con el arreglo incorporado, y pueden mantener el mismo número de versión que antes. Lo importante es que el arreglo está aplicado, no el número.
Dicho esto, que esta vez haya habido un arreglo para versiones antiguas no significa que lo vaya a haber siempre. Por eso te recomendamos tener la web en una versión actual de PHP (8.2 o superior).
Algunas webs, sobre todo las que llevan muchos años sin renovarse, funcionan con versiones de PHP tan antiguas (5.6 o 7.0) que no existe ningún arreglo para ellas. En esas versiones también hemos aplicado la medida adicional de protección, pero no es suficiente para dejarlas seguras.
Estamos hablando con cada cliente afectado para actualizar o rehacer su web. Mientras tanto, por seguridad, es posible que tengamos que desactivar esas webs de forma temporal. Si es tu caso, te escribiremos directamente.
En nuestro servidor ya están aplicadas las actualizaciones contra PHP2Shell y una capa de protección adicional. Tu web está, en principio, protegida, pero te pedimos que la revises y nos avises si ves cualquier cosa extraña.
Si quieres saber cómo está tu web o qué haría falta para tenerla al día, escríbenos y te lo contamos.