Herramienta en línea para comprobar vulnerabilidades de seguridad en PHP
El 21 de octubre de 2026, dos fallos críticos en el propio PHP — CVE-2026-109618 y CVE-2026-109619, ambos con CVSS 9.2 — dejaron fuera de línea sitios web gubernamentales en toda Europa y Japón. La primera ministra de Japón, Sanae Takaichi, publicó un aviso urgente en X: comprueba si tus sitios usan PHP, aplica el parche esta misma noche o retira el sitio hasta que puedas hacerlo. Esta herramienta gratuita lee la versión de PHP que expone tu sitio y te dice en qué punto estás.
Comprueba tu sitio ahora
Comprobación de solo lectura: leemos los encabezados de respuesta públicos de tu sitio y buscamos una página phpinfo expuesta, y después comparamos cualquier versión de PHP que encontremos con las versiones corregidas. Nunca enviamos una solicitud de explotación y no guardamos nada. Comprueba solo sitios web que sean tuyos o que tengas permiso para analizar.
Deep Website Check · 4,99 $ · abierto a todos
¿Quieres la foto completa, no solo la versión de PHP?
Esta comprobación gratuita solo lee la versión de PHP de tu sitio y sus huellas públicas. Deep Website Check es el análisis completo: un informe exhaustivo de tu sitio web — informe en línea y PDF — que cubre su huella de PHP y plataforma, su cadena completa de certificados TLS, lo que un navegador real ve en la página principal y sus cabeceras de seguridad, revisado por una persona antes de la entrega. 4,99 $ por comprobación, abierto a todos (hasta 10 al mes por correo).
Pedir un Deep Website Check — 4,99 $Qué pasó
El equipo de seguridad de PHP anunció dos vulnerabilidades críticas el 20–21 de octubre de 2026, después de que se filtraran los detalles antes de la divulgación prevista. Ambos fallos residen en el manejo de solicitudes del intérprete de PHP, así que un atacante puede ejecutar código en un servidor vulnerable antes de que se ejecute cualquier código de la aplicación — sin inicio de sesión, sin contraseña, y funciona incluso contra una página de prueba trivial. El dúo recibió rápidamente el apodo de PHP2Shell. Las versiones corregidas se publicaron el 21 de octubre; Cloudflare informó de primeros intentos de ataque ese mismo día, y los gobiernos de Países Bajos y Finlandia, los servicios japoneses Niconico, Pixiv y DMM, y muchos otros, desconectaron sus servicios o los pusieron en mantenimiento de emergencia en lugar de esperar. PHP impulsa aproximadamente tres cuartas partes de los sitios web cuyo lenguaje del lado del servidor puede identificarse — incluidos todos los sitios de WordPress, Drupal, Joomla y Magento.
Fuentes: análisis de Datadog Security Labs, aviso de Ubuntu sobre php2shell, preguntas frecuentes de Tenable y Reuters sobre el aviso de la primera ministra.
Versiones corregidas
Aplicar el parche es la única solución real — los trucos de configuración que circulan en línea (como desactivar el progreso de subida de sesiones) no te protegen, según la reproducción de Datadog.
| Tu rama de PHP | Versión corregida (21 oct 2026) | Estado si estás por debajo |
|---|---|---|
| 8.5.x | 8.5.12 | Vulnerable |
| 8.4.x | 8.4.27 | Vulnerable |
| 8.3.x | 8.3.36 | Vulnerable |
| 8.2.x | 8.2.35 | Vulnerable |
| 8.1.x y anteriores (incl. 7.x, 5.x) | — | Vulnerable y fuera de soporte: no llegará ningún parche oficial. Actualiza a una versión corregida 8.2 o superior (algunas distribuciones de Linux incorporan las correcciones en sus propios paquetes — comprueba la versión de tu paquete). |
Qué hacer ahora
- Encuentra tu versión de PHP. Ejecuta la herramienta de arriba, ejecuta
php -ven el servidor, revisa tu panel de alojamiento o pregunta a tu proveedor. - Aplica el parche hoy si estás por debajo de la versión corregida. En un alojamiento compartido solo puede hacerlo el proveedor — contacta con él ahora y pregúntale a qué versión te trasladará.
- ¿No puedes aplicar el parche rápidamente? Desconecta el sitio temporalmente. Ese es el consejo explícito que dieron la primera ministra de Japón y varias agencias nacionales de ciberseguridad el 21 de octubre: una breve interrupción planificada es mejor que un servidor expuesto.
- Elimina cualquier página phpinfo pública (phpinfo.php, info.php). Muestra la configuración completa de tu servidor a cualquiera que la pida.
- Verifica. Después de la actualización, confírmalo con
php -vy vuelve a ejecutar esta comprobación.
Qué puede — y qué no puede — decirte esta comprobación
La comprobación es una huella remota, y es honesta sobre sus límites. Si tu servidor anuncia su versión de PHP (muchos lo hacen, en el encabezado X-Powered-By) o expone una página phpinfo, el veredicto es exacto. Si la versión está oculta, la comprobación lo indica en lugar de adivinar — una versión oculta no es prueba de seguridad, y la única prueba segura está en el propio servidor. Si tu versión lleva un sufijo de paquete de una distribución de Linux, la comprobación señala la cuestión del backport en lugar de declararte vulnerable. Una CDN delante de tu sitio también puede eliminar las señales; en ese caso, comprueba el servidor de origen.
Preguntas, con respuestas directas
¿Qué es PHP2Shell?
PHP2Shell es el apodo de dos vulnerabilidades críticas en el propio PHP — CVE-2026-109618 y CVE-2026-109619 — divulgadas el 21 de octubre de 2026. Ambas tienen una puntuación CVSS 9.2 y permiten a un atacante ejecutar código en un servidor web sin iniciar sesión. Como los fallos están en el intérprete de PHP, todo sitio que use una versión de PHP afectada está expuesto, esté construido con lo que sea — WordPress, Drupal, Joomla, Magento o una página de prueba de una sola línea. Los inicios de sesión y las contraseñas de la aplicación no bloquean el ataque; solo actualizar PHP lo soluciona.
¿Qué versiones de PHP son vulnerables y cuáles están corregidas?
Versiones corregidas oficiales (21 de octubre de 2026): PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Cualquier versión anterior en esas ramas es vulnerable. PHP 8.1 y todo lo anterior (hasta 5.x) también está afectado, pero fuera de soporte — PHP no parcheará esas ramas, así que allí la solución es pasar a una versión corregida y con soporte. Algunas distribuciones de Linux incorporan la corrección en sus propios paquetes sin cambiar el número de versión oficial; si usas paquetes de PHP de tu distribución, compara la versión completa de tu paquete con el aviso de tu distribución.
Mi sitio es WordPress. ¿La actualización de WordPress soluciona esto?
No. Las actualizaciones de WordPress corrigen WordPress; este fallo está en PHP, el lenguaje sobre el que funciona WordPress. Tu versión de PHP la define tu servidor o tu plan de alojamiento, y solo cambia cuando el proveedor actualiza PHP (o cuando cambias la versión de PHP en tu panel de alojamiento, donde exista esa opción). Pregunta a tu proveedor de alojamiento qué versión de PHP usa tu sitio y si está en la versión corregida o por encima de ella.
La herramienta dice que mi versión de PHP está oculta. ¿Estoy a salvo?
No necesariamente. Ocultar la versión es una buena práctica, pero solo significa que una comprobación remota no puede ver la versión — los servidores seguros y los vulnerables se ven idénticos desde fuera. El veredicto honesto en ese caso es 'no se puede confirmar de forma remota'. Compruébalo en el propio servidor: ejecuta php -v, mira en tu panel de alojamiento o pregunta a tu proveedor, y después compara con las versiones corregidas de arriba.
¿Esta herramienta intenta hackear mi sitio?
No. Envía solicitudes normales de solo lectura: lee los encabezados de respuesta que tu servidor ya muestra a cada visitante, y comprueba si una página phpinfo — una página de diagnóstico que nunca debería ser pública — es accesible, porque esa página muestra la versión exacta (y mucho más que no quieres hacer público). Nunca envía la solicitud de explotación, nunca envía cargas de ataque y no guarda nada sobre tu sitio.
La herramienta dice que soy vulnerable, pero mi proveedor dice que estamos parcheados. ¿Quién tiene razón?
Posiblemente tu proveedor. Debian y Ubuntu incorporan correcciones de seguridad en sus paquetes de PHP manteniendo el número de versión oficial original, así que un servidor que informa 'PHP 8.3.6' ya puede contener la corrección si la versión de su paquete es lo bastante reciente (Ubuntu publicó paquetes corregidos el 21 de octubre de 2026). Esta herramienta señala ese caso explícitamente en lugar de dar una falsa alarma. La prueba decisiva es la versión completa del paquete — pídela a tu proveedor o comprueba el gestor de paquetes en el servidor.
¿Qué debería hacer ahora mismo?
1) Encuentra tu versión de PHP (esta herramienta, php -v o tu proveedor). 2) Si está por debajo de la versión corregida de tu rama, actualiza PHP — o haz que lo haga tu proveedor — hoy mismo. 3) Si no puedes aplicar el parche rápidamente, sigue el consejo que dieron la primera ministra de Japón y varias agencias nacionales de ciberseguridad el 21 de octubre: retira el sitio temporalmente o restringe su acceso hasta que esté parcheado. 4) Elimina cualquier página phpinfo pública. 5) Después de aplicar el parche, confírmalo con php -v y vuelve a ejecutar esta comprobación.
¿Quieres que tu asistente de IA haga todo el trabajo?
La skill PHP2Shell Vulnerability Check ejecuta esta misma comprobación a través de tu asistente de IA, resuelve contigo los casos de versión oculta y de backport de la distribución, redacta el informe de una página para el propietario, y después te guía por la aplicación del parche y la nueva comprobación hasta confirmar que tu sitio está corregido.
Obtener la skill — $4.99