PHP2Shell y WordPress: qué revisar

Última verificación de fuentes: 25 de octubre de 2026. Información en evolución: revisar las fuentes oficiales para actualizaciones.

PHP no es WordPress

Las fuentes primarias (php.net, los avisos de GitHub y el CSIRT) describen fallas en el núcleo de PHP y su ciclo de vida de peticiones, incluida la gestión de progreso de subida de sesiones. No describen una vulnerabilidad propia de WordPress ni de un plugin concreto. WordPress queda expuesto porque se ejecuta sobre PHP.

Consecuencia práctica: actualizar WordPress y sus plugins no corrige PHP2Shell. Lo que corrige es actualizar PHP en el servidor.

Qué revisar

Tu versión de PHP. En WordPress: Herramientas → Salud del sitio → Información → Servidor. Debe ser 8.5.12, 8.4.27, 8.3.36, 8.2.35 o superior de su rama.
Si usas PHP 8.1 o anterior (sin soporte del proyecto): migrar a una rama soportada; consulta a tu proveedor si ofrece parches propios. PHP publicó backports mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quienes compilan PHP.
Pregunta a tu hosting si ya aplicó el parche. Muchas distribuciones y proveedores LTS recibieron los parches por adelantado.
Revisa logs desde el 17 de octubre de 2026, fecha desde la que el CSIRT cita intentos de explotación.
Respaldos restaurables antes de cualquier cambio.

Mitigaciones temporales (no sustituyen el parche)

PHP advierte que ninguna es completa. Si no puedes actualizar de inmediato, el aviso menciona, entre otras: fijar memory_limit=-1 de forma que las aplicaciones no lo cambien, usar un post_max_size bajo, aplicar límites en el servidor web o proxy, y desactivar session.upload_progress.enabled con reinicio de los procesos. Aplícalas con ayuda técnica y respaldo.

Un tercer aviso en seguimiento

PHP publicó el 23 de octubre un aviso informativo sobre CVE-2026-115560, relacionado con el progreso de subida de sesiones, que no queda corregido por las versiones del 21 de octubre y tendrá aviso completo en la siguiente versión.

Fuentes

Aviso de PHP (21 oct 2026) · GHSA-w8hw-w9fx-j79w · GHSA-6wmf-4rv5-p3rp · CSIRT Nacional / ANCI AVC26-00740

Contenido informativo; no sustituye una evaluación del entorno concreto. Si sospechas compromiso, no borres ni reinstales antes de evaluar: ver respuesta a incidentes.