Comprobador de PHP2Shell
Usa este comprobador gratuito de PHP2Shell para ver si tu web funciona con una versión de PHP afectada por PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Escribe la dirección de tu web o la versión de PHP que ves en tu servidor.
¿Ya conoces tu versión de PHP? Pégala aquí (de php -v, phpinfo o tu panel de hosting):
Datos del comprobador verificados por última vez con el aviso oficial: 21 de octubre de 2026.
Qué te dice el comprobador de PHP2Shell
PHP2Shell es un conjunto de vulnerabilidades críticas de seguridad de memoria en el núcleo de PHP, publicado el 21 de octubre de 2026 con una puntuación CVSS de 9,2. Un atacante sin cuenta puede ejecutar código en el servidor o leer memoria sensible del proceso, como contraseñas, tokens de sesión, claves de API y certificados. Como el fallo está en el motor de PHP, una web puede verse afectada aunque su propio código sea impecable. Los investigadores lo demostraron con una simple app «Hello World».
El comprobador responde a una pregunta: ¿el PHP que ejecuta tu web es anterior a la primera versión corregida? Lee lo que tu servidor revela en sus cabeceras. Si la versión de PHP es visible, obtienes un veredicto directo. Si está oculta, que es lo habitual, te dice si la web parece usar PHP (WordPress, Drupal, Joomla, Laravel o una cookie de sesión de PHP) y te indica cómo comprobarlo en el servidor en un minuto.
Versiones corregidas de PHP2Shell
Versiones vulnerables y primera versión corregida de cada rama, según la divulgación oficial y el anuncio de la PHP Foundation:
| Rama de PHP | Vulnerable | Primera versión corregida |
|---|---|---|
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 | < 8.2.35 | 8.2.35 |
| 8.1, 8.0, 7.4 y anteriores | Todas las versiones | No hay nueva versión oficial. Usa un paquete del proveedor con la corrección aplicada o pasa a una rama corregida. |
Los paquetes de las distribuciones (Ubuntu, Debian, Red Hat, CloudLinux, cPanel EasyApache) suelen aplicar la corrección sin cambiar el número de versión original. Si tu versión parece antigua pero viene de uno de esos paquetes, busca CVE-2026-109618 en el changelog del paquete. Los comandos están en la página del parche de PHP2Shell (en inglés).
Cómo usar el comprobador o revisarlo a mano
- Busca la versión de PHP que atiende las peticiones web. En WordPress, ve a Herramientas → Salud del sitio → Información → Servidor. En un servidor, ejecuta
php -v, pero ten en cuenta que la versión de línea de comandos puede ser distinta de la que usa Apache o PHP-FPM. - Escríbela en el comprobador o compárala con la tabla de arriba. En la rama 8.3, por ejemplo, 8.3.35 es vulnerable y 8.3.36 está corregida.
- Revisa todos los PHP instalados. Los servidores con cPanel, Plesk o aaPanel suelen tener varias versiones de PHP a la vez. Hay que actualizar todas las que pueda usar una web.
- Reinicia tras actualizar. Apache, PHP-FPM y los procesos PHP de larga duración mantienen el código antiguo en memoria hasta que se reinician.
A quién afecta PHP2Shell
PHP mueve aproximadamente el 70 % de las webs, entre ellas WordPress, Drupal, Joomla, MediaWiki, Moodle, Nextcloud y aplicaciones Laravel y Symfony. Los investigadores demostraron ejecución remota de código sin autenticación en las últimas imágenes de contenedor de WordPress, Drupal y Joomla, pero el ataque no requiere ninguna de esas aplicaciones. Según la PHP Foundation, Apache con mod_php es la configuración más expuesta: una petición sin autenticar puede activar CVE-2026-109618 antes de que se ejecute código de la aplicación, con la configuración por defecto. También se confirmó la ejecución remota de código en PHP-FPM a través de rutas de código de la aplicación.
Comprueba todas las webs que gestionas, no solo la principal. Las webs en plataformas gestionadas son tan seguras como el PHP que ejecuta el proveedor. En un hosting compartido, la solución suele ser cambiar de versión en el panel de control o abrir un ticket con soporte.
Qué hacer si el comprobador dice que eres vulnerable
- Actualiza PHP a 8.2.35, 8.3.36, 8.4.27, 8.5.12 o superior, o a un paquete del proveedor que incluya la corrección. Es la única solución completa. Comandos paso a paso: guía del parche de PHP2Shell (en inglés). Después, vuelve a pasar el comprobador.
- Si hoy no puedes actualizar, aplica las medidas temporales del aviso y mantén activas tus reglas WAF. Reducen algunas vías de ataque, pero no todas: mitigación de PHP2Shell (en inglés).
- Busca señales de intrusión en los servidores que estuvieron expuestos, sobre todo si guardan credenciales o datos de clientes, y cambia los secretos que estuvieran en memoria.
Más guías (en inglés)
Preguntas frecuentes sobre el comprobador de PHP2Shell
Respuestas breves a lo que más se pregunta tras pasar el comprobador.
¿Es seguro usar este comprobador de PHP2Shell con mi web?
Sí. Envía una sola petición GET normal a tu página de inicio, igual que una visita desde el navegador, y lee las cabeceras de la respuesta. No envía ningún exploit ni peticiones POST, y no escanea rutas.
¿Por qué dice que mi versión de PHP está oculta?
La mayoría de los servidores desactivan expose_php, así que la versión no aparece en las cabeceras. Es normal y no indica que estés parcheado. Mira la versión en el servidor o en tu panel de hosting y escríbela en el campo de versión.
Mi hosting muestra PHP 8.3 sin número de parche. ¿Estoy a salvo?
Solo con la rama no se puede saber. En esa rama, solo 8.3.36 y posteriores incluyen la corrección. Pregunta a tu hosting: «¿Vuestra compilación de PHP incluye las correcciones de CVE-2026-109618 y CVE-2026-109619?»
He actualizado WordPress y todos los plugins. ¿Estoy protegido?
No. El fallo está en el propio PHP, por debajo de WordPress. Actualizar una aplicación no actualiza el PHP que la ejecuta. Consulta PHP2Shell y WordPress (en inglés).
¿Me protege una regla WAF o de Cloudflare?
Proveedores como Cloudflare activaron reglas temporales, pero la divulgación oficial advierte que una regla de protección no sustituye a actualizar PHP. La cobertura depende del proveedor y de la vía de ataque.
Uso PHP 7.4 o 8.1. ¿Hay parche?
No hay nueva versión oficial de PHP para 8.1 ni ramas anteriores. Tus opciones: un paquete del proveedor con la corrección aplicada (busca los CVE en su changelog) o pasar a 8.2.35, 8.3.36, 8.4.27 o 8.5.12.
¿Cómo sé si alguien ya lo explotó?
La divulgación cita señales para investigar: cookies PHPSESSID inusualmente grandes o malformadas en las respuestas, peticiones multipart extrañas seguidas de errores de límite de memoria o de errores HTTP 500 repetidos, y caídas inexplicables de procesos PHP. Ninguna demuestra un ataque, y su ausencia tampoco demuestra que estés a salvo.