PHP2Shell: qué es y cómo proteger tu sitio en cPanel

Hoy, 21 de octubre de 2026, PHP publicó parches de emergencia para dos fallas críticas conocidas como PHP2Shell. Si tienes sitios en WordPress, Laravel o cualquier aplicación PHP, sobre todo en hosting compartido con cPanel, esta guía te explica qué pasa y qué puedes hacer ya.

Qué es PHP2Shell

Son dos vulnerabilidades con severidad CVSS 9.2:

CVE-2026-109618: una falla de memoria en el manejo de subidas multipart/form-data, es decir, en la forma en que PHP procesa formularios y archivos enviados al servidor.
CVE-2026-109619: una falla de estado entre peticiones, donde información de una petición puede afectar a la siguiente.

Combinadas, permiten que alguien sin usuario ni contraseña ejecute código en tu servidor con una sola petición. Lo más delicado es que el ataque ocurre antes de que corra WordPress o Laravel, así que los plugins de seguridad de tu CMS no alcanzan a frenarlo.

A quién afecta

Prácticamente a cualquier PHP que atienda tráfico web: PHP-FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed. Ya hay pruebas de concepto públicas y la falla se está explotando activamente, así que no es un riesgo teórico.

Versiones con el arreglo

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

PHP 8.1 y versiones anteriores ya no tienen soporte y no van a recibir arreglo. Si sigues en una de ellas, es momento de migrar.

Cómo revisar tu versión en cPanel

Si tu hosting te da acceso a la terminal, puedes ver la versión por defecto con:

php -v

Y las otras versiones instaladas (en servidores con CloudLinux suelen estar en /opt/alt):

/opt/alt/php83/usr/bin/php -v
/opt/alt/php84/usr/bin/php -v
/opt/alt/php85/usr/bin/php -v

Ojo: la versión de la terminal (CLI) puede ser distinta a la que usa tu sitio web. Para confirmar la de la web, crea un archivo temporal info.php en la carpeta del sitio con este contenido:

<?php phpinfo();

Ábrelo en el navegador, revisa la versión y bórralo enseguida, porque muestra información sensible del servidor.

¿Sirve cambiar de versión en MultiPHP Manager?

Solo si la versión a la que cambias ya viene parcheada. Si tu proveedor todavía tiene 8.4.26 o 8.5.11, pasar de 8.3 a 8.4 o 8.5 no te protege y además puedes romper plugins o temas. Primero revisa el número exacto de cada versión y, si vas a cambiar, haz un respaldo antes.

Habla con tu proveedor de hosting

En hosting compartido tú no instalas PHP; lo hace el proveedor. Revisa su página de estado o escríbele al soporte para preguntar cuándo aplican el parche y si tienen alguna mitigación activa. Varios proveedores, como Namecheap, ya publicaron avisos y están desplegando las versiones parcheadas en sus servidores.

Medidas mientras llega el parche

Pon Cloudflare delante de tu sitio. Su WAF ya tiene reglas para bloquear este ataque y funciona como escudo temporal.
Mantén actualizados WordPress, temas y plugins. No arregla PHP2Shell, pero reduce otras puertas de entrada.
Deja activas tus herramientas de seguridad, como Wordfence o Imunify360, si las tienes.

Revisa si ya te atacaron

Un síntoma común es que aparezcan archivos PHP dentro de la carpeta de subidas, donde normalmente solo hay imágenes y documentos. Búscalos con:

find ~/public_html -path '*uploads*' -name '*.php'

Si sale algo que no reconoces, revísalo con cuidado. Mira también si hay usuarios administradores nuevos en WordPress y cambia las contraseñas si tienes dudas.

En resumen

Confirma tu versión, no cambies a ciegas, pregúntale a tu hosting, protégete con Cloudflare mientras tanto y revisa que no haya archivos extraños. Cuando veas 8.3.36, 8.4.27, 8.5.12 o 8.2.35 en tu servidor, ya estás protegido.