Un fallo de seguridad crítico en PHP, la tecnología que sustenta hasta el 70% de las páginas web del mundo, ha activado una alerta global entre administradores web. Bautizado como PHP2Shell, permitiría a un atacante ejecutar código no autorizado en servidores sin parchear, con riesgo de robo de datos, toma de control del sitio o ataques a los visitantes.
Para un ecommerce, esto no es solo un problema técnico: puede afectar al catálogo, a los pedidos, a los datos de clientes, a los pagos y a la continuidad del negocio. La buena noticia es que existe una vía clara de actuación: identificar si la tienda usa PHP, actualizar a la versión corregida y revisar plugins, temas e integraciones
Guía urgente para ecommerce
Las tiendas online que utilizan PHP —incluidas las basadas en WooCommerce, Magento/Adobe Commerce, PrestaShop, Drupal, Joomla o desarrollos a medida— deben comprobar hoy mismo la versión de PHP de sus servidores. El proyecto PHP ha publicado parches de emergencia para dos vulnerabilidades críticas conocidas como PHP2Shell, que podrían permitir a un atacante ejecutar código de forma remota sin autenticación.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de 9,2 sobre 10 en CVSS v4.0. Afectan a servidores con PHP 5.4 o posterior y pueden provocar ejecución remota de código, exposición de datos o denegación de servicio mediante tráfico HTTP especialmente manipulado, según una publicación en el blog de Cloudflare.
Por qué importa al ecommerce
PHP alimenta aproximadamente el 70% de los sitios web con lenguaje de servidor conocido y sustenta plataformas muy utilizadas en comercio digital, como WordPress, WooCommerce, Adobe Commerce, Drupal y Joomla.
Para una tienda online, una vulnerabilidad de ejecución remota de código no es solo un problema de reputación. Puede comprometer el servidor que gestiona el catálogo, los pedidos, las cuentas de cliente, las integraciones con pasarelas de pago, transportistas, ERP o marketplaces, y abrir la puerta a fraude, robo de datos o interrupción de las ventas.
Qué versiones corrigen el fallo
El equipo de PHP publicó las correcciones el 21 de octubre de 2026 a las 13:40 UTC, adelantando la fecha prevista tras la filtración de información sobre el parche, según recoge la agencia Europea ENISA.
Las versiones corregidas son:
| Rama de PHP | Versión segura |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Las versiones PHP 8.1 o anteriores no reciben una actualización binaria oficial porque están fuera de soporte. Si la tienda funciona sobre una de ellas, la recomendación de los especialistas es migrar a una rama soportada lo antes posible.
El error más común: actualizar la tienda no basta
PHP2Shell no es un fallo de WooCommerce, Magento, PrestaShop o de un plugin concreto: reside en el intérprete PHP del servidor. Por ello, actualizar el CMS, los plugins o el tema no corrige la vulnerabilidad si PHP sigue sin parchear.
Esto tiene una consecuencia práctica importante: una tienda “al día” en su panel de administración puede seguir expuesta si el hosting no ha actualizado PHP. La responsabilidad de aplicar el parche corresponde a quien gestiona la infraestructura: el equipo interno, la agencia, el proveedor de hosting o el operador cloud.
Plan de acción para ecommerce
1. Identifica la versión real de PHP
Solicita a tu proveedor técnico la versión exacta de PHP que utiliza el entorno de producción, no solo la del panel de control. La comprobación debe hacerse sobre el binario que realmente ejecuta el servidor web, por ejemplo mediante php -v, y confirmar que Apache o PHP-FPM se han reiniciado tras la actualización.
Pregunta concreta para tu agencia o hosting:
“¿Qué versión de PHP utiliza nuestra tienda en producción y ya habéis aplicado las actualizaciones para CVE-2026-109618 y CVE-2026-109619?”
2. Actualiza a una versión segura
Si el servidor usa PHP 8.2, 8.3, 8.4 u 8.5, actualiza a la versión corregida correspondiente: 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Si utiliza PHP 8.1 o anterior, planifica una migración urgente a una rama soportada.
No basta con instalar el paquete: hay que reiniciar los procesos PHP, como Apache o PHP-FPM, porque los trabajadores activos pueden conservar el comportamiento vulnerable hasta ser reiniciados.
3. Revisa el ecosistema de la tienda
Tras actualizar PHP, valida que los componentes de la tienda siguen funcionando:
- Plugins y módulos de pagos, envíos, impuestos, marketing y analítica.
- Temas, plantillas y personalizaciones.
- Integraciones con ERP, CRM, PIM, marketplaces y pasarelas de pago.
- Extensiones antiguas o sin mantenimiento.
- Entornos de pruebas, staging y backups.
Cloudflare ha desplegado reglas de mitigación en su WAF como medida temporal, pero la protección perimetral no sustituye al parche del servidor.
4. Aplica mitigaciones mientras actualizas
Si el parche no puede aplicarse de inmediato, las guías técnicas recomiendan reducir la superficie de ataque con límites de memoria y tamaño de petición, desactivar session.upload_progress y, en PHP 8.5, desactivar los backtraces de errores fatales. También conviene aislar temporalmente las aplicaciones expuestas a Internet cuando la actualización inmediata no sea viable.
Estas medidas son paliativas, no una solución definitiva: el objetivo sigue siendo actualizar PHP cuanto antes.
5. Refuerza accesos y monitorización
Revisa los usuarios con permisos de administrador, activa la autenticación multifactor, elimina accesos obsoletos y limita el acceso al backend siempre que sea posible. Además, monitoriza redirecciones desconocidas, archivos modificados, tareas programadas inusuales, picos anómalos de tráfico y errores en el checkout.
6. Verifica backups y continuidad
Antes de aplicar cambios relevantes, confirma que existen copias de seguridad recientes de base de datos, archivos, configuración y certificados, y que pueden restaurarse. Una actualización de seguridad debe ir acompañada de un plan de reversión para minimizar el impacto comercial si surge una incompatibilidad.
Riesgo actual y calendario
Hasta el momento de la publicación de los avisos, CISA no había confirmado explotación activa de las vulnerabilidades, pero advirtió a las organizaciones con webs basadas en PHP de aplicar los parches de inmediato. Cloudflare, por su parte, indicó que estaba detectando intentos tempranos de explotación.
Esa combinación —fallos críticos, parches disponibles y posibles intentos de explotación— convierte la actualización en una prioridad operativa para cualquier ecommerce, no en una tarea pendiente para la próxima ventana de mantenimiento.
Checklist final para el responsable de la tienda
- Confirmar si la tienda usa PHP y qué versión exacta ejecuta en producción.
- Exigir al hosting o equipo técnico la actualización a 8.2.35, 8.3.36, 8.4.27 u 8.5.12.
- Reiniciar Apache, PHP-FPM u otros servicios PHP tras el parche.
- Probar checkout, pagos, envíos, correos transaccionales e integraciones.
- Revisar plugins, temas, módulos y accesos de administrador.
- Mantener backups recientes, verificados y restaurables.
- Documentar la fecha, versión y responsable de la actualización.
La regla para los ecommerce es clara: si tu tienda funciona con PHP, no esperes a que el fallo se explote masivamente. Verifica, parchea y prueba. La seguridad del servidor es ahora parte directa de la continuidad del negocio.
¿Esto afecta a las tiendas online alojados en Shopify?
No, en principio PHP2Shell no afecta directamente a una tienda alojada en Shopify. El fallo está en el intérprete PHP del servidor, mientras que el núcleo de Shopify se construye principalmente sobre Ruby on Rails y el lenguaje de plantillas Liquid, no sobre PHP.
Como Shopify es una plataforma SaaS, es Shopify quien gestiona la infraestructura, el sistema operativo, los servicios web y las actualizaciones de seguridad de su plataforma. El comerciante no tiene acceso al servidor ni puede —ni debe— aplicar el parche de PHP.
Qué revisar si vendes en Shopify
- Confirma con cada app o integración crítica si su backend utiliza PHP y qué versión ejecuta.
- Revisa landings y blogs externos vinculados a tu dominio: si usan WordPress u otro CMS PHP, deben actualizarse.
- No modifiques la configuración de Shopify por esta alerta: no existe un ajuste de PHP que un merchant pueda cambiar.
- Mantén la seguridad de cuentas y apps: revisa permisos de apps instaladas, activa MFA en cuentas de administrador y elimina integraciones que ya no uses.
- Vigila el estado de Shopify ante cualquier aviso oficial de seguridad de la plataforma.
