WordPress funciona sobre PHP, y la versión de PHP decide si tu sitio sigue recibiendo parches de seguridad. En octubre de 2026 se descubrieron en PHP dos vulnerabilidades críticas que solo se podían corregir actualizando PHP. Actualizar WordPress no servía de nada. En esta guía verás cómo comprobar la versión de PHP en un par de minutos, qué versión es segura y cómo actualizarla sin que el sitio deje de funcionar.
PHP2Shell: por qué la versión de PHP importa ahora
El 21 de octubre de 2026, PHP publicó correcciones para dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619), conocidas como PHP2Shell. Ambas tienen una gravedad de 9,2/10 (CVSS 4.0). En el peor de los casos, un atacante puede ejecutar sus propios comandos en el servidor sin iniciar sesión. En las instalaciones de Apache con mod_php, el ataque puede empezar incluso antes de que llegue a ejecutarse el código de WordPress.
Las vulnerabilidades afectan a todas las versiones de cada rama de PHP anteriores a su versión corregida: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. PHP 8.1 y las versiones anteriores ya no reciben actualizaciones del proyecto PHP. El 23 de octubre, PHP anunció además una tercera vulnerabilidad (CVE-2026-115560), cuya explotación requiere una combinación poco habitual de configuración y código de la aplicación. Se corregirá en la próxima versión ordinaria.
Según el Centro Nacional de Ciberseguridad de Finlandia (NCSC-FI), el 21 de octubre no se tenía constancia de que las vulnerabilidades se estuvieran explotando activamente, pero ya existía código de ejemplo funcional, así que la situación puede cambiar rápido.
PHP publica parches de seguridad varias veces al año, pero solo para las ramas con soporte. Cada rama recibe correcciones durante unos cuatro años, y los fallos que se encuentran después quedan sin corregir. Por eso conviene comprobar la versión de PHP con regularidad, y no solo cuando una vulnerabilidad sale en las noticias.
Cómo comprobar la versión de PHP
Desde el panel de administración de WordPress
- Inicia sesión en WordPress como administrador.
- En el menú de la izquierda, elige Herramientas → Salud del sitio (en WordPress en inglés: Tools → Site Health).
- Abre la pestaña Información (Info) y, dentro de ella, la sección Servidor (Server).
- En la fila Versión de PHP aparece el número exacto, por ejemplo 8.3.36.
Fíjate en el número completo. La rama (8.3) indica si la versión aún tiene soporte, y el último número (36), si está instalada la corrección más reciente. Si la versión está obsoleta, WordPress también muestra en el Escritorio el aviso Es necesario actualizar PHP. Pero no esperes al aviso: comprueba tú mismo el número.
Desde el panel de control del hosting
En la mayoría de los hostings puedes ver y cambiar la versión de PHP desde el panel de control. En cPanel, la opción suele llamarse MultiPHP Manager o Select PHP Version; en Plesk está en los ajustes de PHP de cada dominio. Si no la encuentras, pregunta a tu proveedor qué versión de PHP usa tu sitio y si tiene instalada la corrección de octubre de 2026.
Desde el servidor (para administradores)
En tu propio servidor, el comando php -v muestra la versión de PHP de la línea de comandos. El sitio no tiene por qué usar el mismo PHP, porque el servidor web puede usar otra versión a través de PHP-FPM o del módulo de Apache. El dato más fiable está en la pantalla Salud del sitio de WordPress.
Las distribuciones de Linux, como Debian, Ubuntu y Red Hat, suelen incorporar las correcciones a sus propios paquetes sin cambiar el número de versión. Por eso el número puede parecer antiguo aunque la corrección esté instalada. En ese caso, comprueba en el registro de cambios del paquete si menciona los identificadores CVE.
¿Qué versión de PHP es segura?
Una versión segura cumple dos condiciones: su rama aún recibe parches de seguridad y el servidor tiene la última versión corregida de esa rama. En octubre de 2026, la situación es esta:
| Rama de PHP | Fin del soporte de seguridad | PHP2Shell corregido en |
|---|---|---|
| 8.5 | 31/12/2029 | 8.5.12 |
| 8.4 | 31/12/2028 | 8.4.27 |
| 8.3 | 31/12/2027 | 8.3.36 |
| 8.2 | 31/12/2026 | 8.2.35 |
| 8.1 y anteriores | finalizado (8.1: 31/12/2025, 7.4: 28/11/2022) | sin versión oficial |
WordPress recomienda PHP 8.3 o superior. Todavía funciona con PHP 7.4, pero wordpress.org advierte de que una versión obsoleta puede exponer el sitio a problemas de seguridad. El soporte de PHP 8.2 termina a finales de 2026, así que, si tu sitio lo usa, planifica ya el paso a 8.3 o 8.4.
Para las versiones 7.4, 8.0 y 8.1, el equipo de seguridad de PHP publicó la corrección de PHP2Shell solo como código fuente, para quienes compilan PHP por su cuenta. Algunas distribuciones de Linux y proveedores de hosting preparan sus propios paquetes corregidos para versiones antiguas. Aun así, la solución definitiva es pasar a una versión con soporte.
Cómo actualizar PHP
En el hosting
En un hosting, las correcciones dentro de la misma rama (por ejemplo, 8.3.35 → 8.3.36) suele instalarlas el proveedor. El cambio de rama (por ejemplo, 8.1 → 8.3) normalmente lo haces tú desde el panel de control. Hazlo así:
- Haz una copia de seguridad de los archivos y de la base de datos. Muchos hostings permiten hacerla desde el panel de control.
- Actualiza WordPress, los temas y los plugins. Un plugin o un tema desactualizado es una causa habitual de que el sitio deje de funcionar al actualizar PHP.
- Prueba primero en una copia, si tu hosting ofrece un entorno de pruebas (staging).
- Cambia la versión de PHP desde el panel de control.
- Revisa el sitio: la página de inicio, los formularios, la página de pago de la tienda online y el panel de administración. Comprueba en la pantalla Salud del sitio que ya se usa la nueva versión.
Si algo falla, vuelve un momento a la versión anterior, corrige o sustituye el plugin problemático y vuelve a intentarlo. No te quedes en la versión antigua.
En tu propio servidor
- Instala los paquetes de PHP actualizados de tu distribución (por ejemplo,
apt upgradeodnf upgrade) o compila la versión corregida. - Reinicia PHP-FPM, Apache y los demás procesos que ejecutan PHP, como las tareas en segundo plano. La corrección no se aplica hasta entonces.
- Si el sitio se ejecuta en un contenedor, crea una nueva imagen con el PHP corregido y ponla en producción.
- Por último, comprueba la versión en la pantalla Salud del sitio.
Si no puedes actualizar enseguida
Según PHP, la única corrección completa es actualizar. Si la actualización se retrasa, el administrador del servidor puede reducir el riesgo con los ajustes que recomiendan los avisos de PHP. En un hosting, esos ajustes suele decidirlos el proveedor.
session.upload_progress.enabled=0bloquea los métodos de ataque confirmados contra CVE-2026-109619 y CVE-2026-115560. Según PHP, conviene mantener este ajuste desactivado también después de actualizar si no se necesita la función.- En PHP 8.5,
fatal_error_backtraces=0elimina otro método de ataque confirmado.
Ninguno de los dos ajustes protege contra CVE-2026-109618. Con estos ajustes puedes ganar tiempo, pero no sustituyen a la actualización.
Preguntas frecuentes
¿WordPress actualiza PHP automáticamente?
No. WordPress se actualiza a sí mismo, pero PHP es software del servidor y lo actualiza el proveedor de hosting o el administrador del servidor. Por eso actualizar WordPress no corrige las vulnerabilidades PHP2Shell.
¿Qué versión de PHP conviene elegir para WordPress?
WordPress recomienda PHP 8.3 o superior. En octubre de 2026, 8.3 y 8.4 son buenas opciones, siempre que esté instalada la corrección más reciente y los plugins sean compatibles con la versión.
¿Actualizar PHP puede romper el sitio?
Una versión corregida de la misma rama, como 8.3.35 → 8.3.36, rara vez rompe algo. Cambiar de rama puede romper un plugin o un tema antiguo, así que haz una copia de seguridad y prueba primero.
¿Sigue siendo seguro PHP 7.4?
No. Su soporte de seguridad terminó el 28 de noviembre de 2022. WordPress todavía funciona con 7.4, pero wordpress.org advierte de que una versión obsoleta puede exponer el sitio a problemas de seguridad.
¿Cómo sé si mi hosting ha instalado la corrección de PHP2Shell?
Mira el número completo de la versión de PHP en la pantalla Salud del sitio y compáralo con la tabla de arriba. Si el número es menor, pregunta a tu proveedor si su paquete incluye la corrección.
Si una actualización de PHP rompe un plugin o necesitas a alguien que se encargue del mantenimiento de tu sitio, contacta con nosotros. Ayudamos a actualizar aplicaciones WordPress y PHP.
Fuentes
- Centro Nacional de Ciberseguridad de Finlandia (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (en finés)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (en inglés)
- PHP: RCE via OOM corruption, CVE-2026-109618 (en inglés)
- PHP: RCE via stale global state, CVE-2026-109619 (en inglés)
- PHP: versiones con soporte (en inglés)
- WordPress: requisitos (en inglés)
