PYMEsign
Tabla de contenidos4 secciones
Si en estos días escuchaste nombrar “php2shell” y no tenés del todo claro si te afecta o si hay que salir corriendo, esta nota es para vos. La idea es contarte qué pasó, cómo saber si tu sitio está en la lista y qué hacer, sin tecnicismos y sin meterte miedo de más.
Qué pasó
A fines de octubre de 2026, el equipo que desarrolla PHP publicó una actualización de seguridad crítica que puso a todo Internet a mirar sus servidores. PHP es el lenguaje con el que funciona gran parte de la web: WordPress, Joomla, tiendas online, sistemas a medida y buena parte de los sitios de empresas en Argentina corren sobre PHP, aunque uno no lo vea.
El problema, que la prensa bautizó php2shell, son en realidad dos fallas (para los curiosos, CVE-2026-109618 y CVE-2026-109619). Dicho simple: en un sitio sin actualizar, un atacante podría llegar a ejecutar código propio en el servidor que corre tu sitio. Lo que encendió las alarmas es que no necesita una contraseña ni hacer nada demasiado elaborado; con una sola visita mal intencionada alcanza. De hecho, se detectaron intentos de aprovecharla incluso antes de que se hiciera pública, así que el apuro por parchear tuvo su razón de ser.
Nada de esto quiere decir que tu sitio ya esté comprometido. Quiere decir que es uno de esos momentos en los que conviene revisar y quedarse tranquilo, en vez de enterarse más tarde.
¿Mi sitio está afectado?
Casi cualquier sitio que corra sobre PHP puede estarlo si no se actualizó. Lo que marca la diferencia es la versión de PHP que usa tu servidor:
- Si corrés PHP 8.2, 8.3, 8.4 u 8.5, hay versiones ya corregidas (8.2.35, 8.3.36, 8.4.27 y 8.5.12). Es cuestión de actualizar a la que corresponda.
- Si corrés PHP 8.1 o una versión anterior —y acá entran muchísimos sitios que siguen en 7.x o incluso en 5.x—, esas versiones ya no tienen soporte oficial. Para algunas salieron parches de emergencia, pero la recomendación de fondo es planificar el salto a una versión que sí reciba mantenimiento.
¿Y cómo sabés en cuál estás? No siempre es evidente. La versión de PHP se define en el panel de tu hosting, y si nunca lo tocaste, es muy probable que ni sepas en cuál quedó. La forma más rápida de salir de la duda es preguntarle directamente a tu proveedor de hosting: es un dato que te responden en minutos.
Por qué tantos sitios quedaron en versiones viejas
Vale una aclaración, porque no es por descuido. Lo habitual es que un sitio se desarrolle sobre la versión de PHP que había en ese momento, salga a producción y siga funcionando. Mientras anda, nadie lo toca. El tema es que PHP avanza, deja atrás las versiones viejas, y un día ese sitio que “funciona bien” resulta que corre sobre una base que ya no recibe arreglos de seguridad. No es que esté roto; es que envejeció sin que se notara. Situaciones como php2shell son las que lo ponen en evidencia.
Qué hacer ahora
- Averiguá qué versión de PHP corre tu sitio. Lo ves en el panel del hosting o lo preguntás a tu proveedor.
- Pedí que la actualicen a una versión corregida. En muchos hostings es un cambio de pocos minutos y listo.
- Antes de tocar nada, confirmá que tenés un backup reciente del sitio y de la base de datos. Es la red de seguridad por si algo no responde como esperabas.
- Si tu sitio corre sobre una versión tan vieja que actualizar “rompe” cosas, tomalo como la señal de que llegó el momento de ponerlo al día en serio, con cuidado y sin improvisar.
La buena noticia es que, para la mayoría de los sitios, esto se resuelve actualizando y no pasa a mayores. Donde se complica es cuando el sitio quedó atado a una versión antigua y subirla arrastra errores: ahí no conviene actualizar a ciegas, sino hacerlo con alguien que pueda revisar qué se rompe y por qué antes de dar el paso.
En PYMEsign trabajamos con pymes justamente en esto: poner sitios al día sin perder lo que ya venía funcionando. Si querés sacarte la duda, miramos tu caso sin cargo y te decimos con franqueza si tenés que hacer algo o podés quedarte tranquilo. Escribinos y lo vemos.
