El 21 de octubre, el proyecto PHP publicó la corrección de dos fallas de seguridad críticas, de esas que permiten que un desconocido ejecute su propio código en tu servidor web sin iniciar sesión. A la pareja la apodaron PHP2Shell. Los bancos y las aerolíneas salieron en las noticias. Los sitios de las pequeñas empresas no, y son los que más probablemente sigan sin parchear dentro de un mes.
Si tu sitio web funciona con WordPress, funciona con PHP. Aquí te contamos qué pasó, qué hacer hoy y qué respondemos cuando nos preguntan por qué un sitio de Surmado no tenía nada que actualizar.
Qué pasó, en palabras sencillas
PHP es el lenguaje de programación en el que está escrito WordPress. Cada vez que alguien visita una página de WordPress, un programa PHP se ejecuta en el servidor, toma tu contenido de una base de datos y arma la página al momento. Dos errores en ese programa, CVE-2026-109618 y CVE-2026-109619, permiten que un atacante envíe una sola solicitud manipulada y ejecute su propio código en el servidor. No necesita contraseña. El proyecto PHP califica ambos con 9.2 sobre 10.
Algunas cosas que conviene saber:
- No es un error de WordPress. Afecta a cualquier sitio construido sobre PHP: WordPress, Drupal, Joomla, Magento y un sinfín de sitios a medida. WordPress.org dice que no se requiere ni se planea ninguna actualización de WordPress. La corrección está en el propio PHP.
- Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y las anteriores no reciben corrección del proyecto PHP. Si tu sitio usa una de ellas, la solución es una actualización mayor, no un parche.
- Los atacantes ya lo estaban intentando antes de que saliera la noticia. La red de honeypots de Amazon registró un intento de explotación el 17 de octubre, cuatro días antes de la divulgación pública, y ya circula código público de prueba de concepto.
- No hay una solución alternativa segura. Con las palabras del propio proyecto PHP: actualizar es la única opción segura.
Qué hacer hoy
1. Averigua qué versión de PHP usa tu sitio. En el administrador de WordPress, ve a Herramientas, luego Salud del sitio, luego la pestaña Información, luego Servidor (en inglés: Tools, Site Health, Info, Server). Ahí aparece la versión de PHP. La mayoría de los paneles de control de hosting también la muestran.
2. Si la versión es 8.2.35, 8.3.36, 8.4.27, 8.5.12 o posterior, ya terminaste. Una salvedad: algunos proveedores de hosting aplican la corrección sin cambiar el número de versión que se ve en pantalla. Si tu proveedor te envió un correo o publicó que parchó PHP2Shell, confía más en el aviso que en el número.
3. Si es anterior, consulta primero con tu proveedor de hosting. Muchos empezaron a actualizar PHP y a agregar reglas de firewall en cuanto salió la corrección. Busca una página de estado, un correo o un aviso en tu cuenta de hosting. Si no hay nada, abre un ticket y pregunta directamente: “¿Se parchó PHP para CVE-2026-109618 y CVE-2026-109619 en mi cuenta?”.
4. Si usas PHP 8.1 o anterior, tienes un proyecto, no un parche. Tu sitio necesita pasar a una rama con soporte, y un cambio así puede romper un tema o un plugin antiguo. El consejo de WordPress.org para quienes administran su propio servidor con una versión antigua es considerar sacar el sitio de línea mientras actualizan. Si lo administra otra persona por ti, esta es la decisión que hay que tomar hoy.
5. No cuentes con que un plugin de seguridad cubra esto. Un plugin de WordPress se ejecuta dentro de PHP, así que no puede corregir una falla del propio PHP. El ataque puede activarse antes de que se ejecute cualquier código de WordPress. Un firewall en tu proveedor de hosting o delante de tu sitio puede bloquear patrones de ataque conocidos, que es lo que hicieron primero muchos proveedores.
6. Pon una nota en tu calendario para diciembre. PHP 8.2 llega al fin de su vida útil el 31 de diciembre de 2026. Después de esa fecha tampoco recibirá correcciones de seguridad, y el próximo PHP2Shell le caerá encima sin ningún parche en camino.
Por qué esto sigue pasando
Nada de lo anterior es una crítica a WordPress. Es un buen software, y mueve una parte enorme de la web de las pequeñas empresas por buenas razones. Pero vale la pena entender a qué te comprometiste cuando compraste un sitio WordPress, porque nadie lo explica en el momento.
Un sitio WordPress es un programa que se ejecuta cada vez que alguien lo visita. De ahí viene su flexibilidad: un plugin puede hacer casi cualquier cosa, porque hay un programa ahí, listo para hacerlo. También es la razón por la que la lista de parches nunca llega a cero. PHP, el núcleo de WordPress, el tema y cada plugin son código en ejecución, y todos necesitan actualizaciones para siempre. El mantenimiento del sitio web consiste sobre todo en mantener al día esa lista, y los sitios que se quedan atrás son los que terminan con enlaces spam inyectados en silencio.
PHP2Shell es inusual solo por lo profundo que está. La mayoría de los años el error que asusta está en un plugin. Este está en el lenguaje que hay debajo de todo.
Qué significa “estático” y por qué los sitios de Surmado Sites se construyen así
Los sitios de Surmado Sites toman el camino opuesto. No ejecutamos tu sitio web como un programa. Construimos las páginas terminadas por adelantado, cada vez que algo en el sitio cambia, y servimos esos archivos terminados a los visitantes. Cuando alguien abre tu página de inicio, no hay PHP ejecutándose, ninguna base de datos consultándose, ningún código de plugin corriendo. Es un archivo, entregado desde una red de servidores cercanos al visitante.
Eso es lo que significa “estático”. No es una decisión de diseño que se pueda ver. Es una decisión sobre cuánto código en ejecución hay entre internet público y tu negocio.
Esta es la versión honesta de lo que eso te da y lo que no:
- Una falla como PHP2Shell no tiene nada a lo que llegar. No hay PHP en tu sitio que explotar. El 21 de octubre, la cantidad de cosas que nuestros clientes tuvieron que hacer al respecto fue cero. No porque parcháramos rápido. Porque no había nada que parchar.
- La lista de parches sigue existiendo. Solo que es nuestra, y es corta. Un sitio de Surmado sí recibe datos en dos lugares: el formulario de contacto y, en los sitios que lo tienen, la ventana de chat. Funcionan como servicios aparte que nosotros mantenemos y actualizamos, separados de tus páginas. El dominio y el certificado siguen necesitando atención, y eso es parte de la membresía. Lo que cambia es la cantidad de código expuesto al público y de quién es el trabajo.
- Nada es imposible de hackear. Quien te diga lo contrario te está vendiendo algo. Un sitio estático reduce el blanco hasta que la mayor parte de lo que ataca a los sitios WordPress no tiene nada que atacar, que es una afirmación distinta, y la que nos sentimos cómodos haciendo.
Quién debería quedarse en WordPress
Las páginas estáticas no pueden hacerlo todo, y preferimos decírtelo a que lo descubras después.
- Vendes en línea. Una tienda tiene que calcular carritos, recibir pagos y revisar el inventario para cada cliente. Eso requiere un programa. Surmado Sites no hace tiendas en línea; si vendes a través de una plataforma de tiendas, enlazamos a ella desde tu sitio.
- Tu negocio funciona con un plugin. Un motor de reservas, un área de miembros, un portal de clientes. Si un visitante inicia sesión y el sitio calcula algo solo para él, WordPress o algo parecido es la herramienta correcta, y el mantenimiento que trae consigo es el precio de esa capacidad.
- Estás en un hosting administrado de WordPress que parchó esto antes de que te enteraras, y te parece bien pagar por eso. Para eso exactamente sirve el hosting administrado. Si recibiste el correo el 21 de octubre y no tuviste nada que hacer, tu configuración funciona.
Para todos los demás, que son la mayoría de las pequeñas empresas, el sitio es un conjunto de páginas: qué haces, dónde estás, cuándo abres, cómo contactarte y un blog. Para ese sitio, la flexibilidad de WordPress es capacidad que pagas con un mantenimiento que nunca aprovechas. Y en días como el 21 de octubre, es la razón por la que tienes tarea.
Preguntas frecuentes
Mi sitio no es WordPress. ¿Me afecta?
Si está construido sobre PHP, sí. Drupal, Joomla, Magento y la mayoría de los sitios a medida de una agencia web usan PHP. Si tu sitio está en un constructor alojado como Wix, Squarespace o Shopify, la empresa administra los servidores y no tienes nada que instalar. Si no sabes, pregúntale a quien lo construyó.
¿Puede Surmado migrar mi sitio WordPress?
Sí. Envíanos la dirección y lo reconstruimos gratis: mismo contenido, fotos, estructura de páginas y URL, con las redirecciones y los metadatos trasladados y el código viejo dejado atrás. Una persona lo revisa con una lista de control de calidad de 42 puntos, recibes una vista previa y no pagas nada a menos que lo apruebes. La mayoría de las reconstrucciones están listas en 24 horas.
¿Pierdo mi blog?
No. Los blogs vienen de serie en un sitio de Surmado, y en el plan Pro+ escribimos publicaciones semanales por ti.
¿Un sitio estático perjudicará mi posicionamiento en buscadores?
Normalmente, al contrario. Las páginas construidas por adelantado cargan más rápido que las armadas en cada visita, y la velocidad es un factor de posicionamiento. Todo lo que los buscadores y los asistentes de IA necesitan para leer tu sitio está en los archivos terminados.
Lo esencial
Si tienes un sitio WordPress, revisa hoy la versión de PHP, confirma que tu proveedor de hosting haya parchado y anota el 31 de diciembre en el calendario. Ese es todo el trabajo, y vale una hora.
Si prefieres que esta sea la última vez que tienes tarea por un error en un lenguaje del que nunca habías oído hablar, mira qué incluye un sitio de Surmado y los precios actuales. La reconstrucción es gratis y solo pagas si te gusta.