Tu web está en peligro: PHP2Shell y el fin de una era en internet

Esto no es una opinión. Es lo que está pasando ahora mismo. Esta semana se han destapado dos fallos críticos en PHP — el lenguaje que hace funcionar el 75% de las webs del mundo — y los ataques ya están en marcha. Si tu web funciona con WordPress, PrestaShop, Joomla, Drupal o cualquier CMS basado en PHP, lo que lees aquí te afecta directamente.

Qué ha pasado: PHP2Shell, explicado sin tecnicismos

PHP es el motor invisible que hace funcionar tu web. No lo ves, pero está detrás de cada página que se carga, cada formulario que se envía, cada pedido en tu tienda online. WordPress usa PHP. PrestaShop usa PHP. Joomla, Drupal, Magento: todos usan PHP.

Esta semana se ha descubierto que ese motor tiene dos agujeros gravísimos. Los han bautizado como PHP2Shell, y su gravedad es de 9,2 sobre 10.

¿Qué significa eso en lenguaje normal? Que cualquier persona con los conocimientos adecuados puede entrar en tu web, sin necesidad de contraseña, y hacer lo que quiera: robar datos de tus clientes, instalar programas maliciosos, usar tu servidor para atacar a otros, o simplemente tumbar tu página.

¿Mi web está en peligro?

Si tu web funciona con cualquiera de estos sistemas, sí:

• WordPress — el CMS más usado del mundo (más del 40% de todas las webs)
• PrestaShop — tiendas online
• Joomla y Drupal — portales y webs corporativas
• Magento — comercio electrónico
• Cualquier web hecha con PHP, incluidas muchas webs «a medida» antiguas

Y aquí viene lo más grave: da igual que tengas WordPress actualizado. El fallo no está en WordPress, ni en PrestaShop, ni en ningún plugin. Está en PHP, el motor que hay debajo de todos ellos. Es como si el problema estuviera en los cimientos del edificio, no en la pintura de las paredes.

Para empeorar las cosas, según un análisis reciente de Censys sobre más de 316.000 sitios, más del 70% de las webs con WordPress funcionan con versiones de PHP que ya no reciben actualizaciones de seguridad. Si tu hosting no ha actualizado PHP (y la mayoría no lo ha hecho), tu web es un blanco fácil.

Esto no es un susto puntual. Es el fin de una era.

PHP2Shell no es un incidente aislado. Es la confirmación de algo que llevamos tiempo diciendo: el internet que conocíamos se ha quedado obsoleto.

En lo que va de 2026, WordPress ha sufrido:

• CVE-2026-87902: una vulnerabilidad crítica en el núcleo de WordPress que permitía ejecutar código en tu servidor sin contraseña. A las pocas horas de publicarse el parche, los ataques ya estaban en marcha.
• wp2shell (julio 2026): otra cadena de dos fallos críticos en WordPress 6.8, 6.9 y 7.0. Explotación activa confirmada: puertas traseras, usuarios administradores falsos, plugins maliciosos.
• XSS2Shell (CVE-2026-64638): un ataque que empezaba en la página de login de WordPress y terminaba dando al atacante control total del servidor.
• Y ahora PHP2Shell (CVE-2026-109618 y CVE-2026-109619): el más grave de todos, porque afecta al motor que hay debajo de todo.

El mensaje es claro: las herramientas que usábamos hace unos años para construir webs ya no aguantan la realidad de hoy. No es que sean malas. Es que el mundo ha cambiado y ellas no han podido seguir el ritmo.

Los 7 problemas que ya estás notando o empezarás a notar en tu web

La alternativa existe. Y ya funciona.

Una web a medida, con código propio, no es un capricho de empresa grande. Hoy, con las herramientas adecuadas, se construye más rápido, cuesta menos mantenerla y es incomparablemente más segura.

En 3com llevamos más de 20 años construyendo webs en Canarias. Nuestra propia web la migramos de WordPress a código nativo este año, y en menos de dos meses muchos de nuestros clientes ya están dando el salto al código propio. Los resultados son inmediatos: carga instantánea, cero incidentes de seguridad, un diseño que refleja lo que cada negocio es de verdad, y preparación total frente a amenazas como PHP2Shell.

Si tu web te suena a alguno de estos 7 problemas, es el momento de actuar. No de parchear: de dar el salto de verdad.