Si tu web funciona con PHP y el motor no está actualizado desde el 21 de octubre de 2026, da igual que WordPress, los plugins, el tema y el inicio de sesión estén impecables: un atacante sin cuenta puede llegar a ejecutar código en tu servidor. Lo establece el aviso de seguridad oficial de PHP, que corrige dos vulnerabilidades críticas bautizadas como PHP2Shell.
Son la CVE-2026-109618 y la CVE-2026-109619, ambas con una puntuación de 9,2 en la escala CVSS 4.0. El equipo de PHP ha publicado las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 y pide a todo el mundo que actualice de inmediato. Según Wiz, una de las firmas que las descubrieron, todas las versiones publicadas en la última década están afectadas por al menos uno de los fallos, desde PHP 5.4, y además permiten leer trozos de la memoria del servidor.
La pregunta que importa para cualquier webmaster con la web «bien cuidada» es otra: ¿qué me juego si no toco PHP?
¿Por qué no te protege tener WordPress y los plugins actualizados?
