PHP 7.4 y anteriores: el riesgo tras PHP2Shell y qué hacer

Publicado el 30 de octubre de 2026

Publicado el 29 de octubre de 2026. Datos verificados el 30 de octubre de 2026 en php.net, cPanel, Webuzo y CISA. Actualizaremos este artículo si hay novedades. Si tu sitio web o sistema funciona con PHP 7.4, 7.3, 7.2 o 5.6, este artículo es para ti. En octubre de 2026 se publicaron dos fallas críticas de PHP, conocidas como PHP2Shell, que ya se están aprovechando en ataques reales. Te explicamos qué pasó, por qué las versiones antiguas son las más expuestas, cómo saber qué versión usa tu web y qué opciones tienes.

En resumen:

El 21 de octubre de 2026, PHP corrigió dos vulnerabilidades críticas (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar código en el servidor sin usuario ni contraseña.
La agencia de ciberseguridad de EE. UU. (CISA) confirmó el 26 de octubre que se están explotando.
PHP solo publica correcciones para las versiones con soporte (8.2 a 8.5). Para PHP 7.4 y anteriores, la corrección depende de que tu proveedor la adapte por su cuenta, y no hay garantía de que lo haga en la próxima falla.
La solución definitiva es pasar a PHP 8.3, 8.4 u 8.5.

¿Qué es PHP y por qué importa su versión?

PHP es el lenguaje con el que funcionan la mayoría de sitios web: WordPress, Joomla, tiendas online, sistemas de facturación, intranets y aplicaciones a medida. Como todo software, PHP recibe actualizaciones que corrigen fallos de seguridad. Pero cada versión tiene una fecha de fin de soporte: desde ese día, el equipo de PHP ya no publica correcciones para ella, aunque se descubran fallos graves.

Versión	Fin del soporte de seguridad	Estado al 30 de octubre de 2026
PHP 5.6	31 de diciembre de 2018	❌ Sin soporte desde hace casi 8 años
PHP 7.0 y 7.1	10 de enero y 1 de diciembre de 2019	❌ Sin soporte
PHP 7.2	30 de noviembre de 2020	❌ Sin soporte
PHP 7.3	6 de diciembre de 2021	❌ Sin soporte
PHP 7.4	28 de noviembre de 2022	❌ Sin soporte desde hace casi 4 años
PHP 8.0	26 de noviembre de 2023	❌ Sin soporte
PHP 8.1	31 de diciembre de 2025	❌ Sin soporte
PHP 8.2	31 de diciembre de 2026	⚠️ Termina en dos meses
PHP 8.3	31 de diciembre de 2027	✅ Con soporte de seguridad
PHP 8.4	31 de diciembre de 2028	✅ Recomendada
PHP 8.5	31 de diciembre de 2029	✅ Recomendada (la más reciente)

Fuente: versiones con soporte y versiones sin soporte en php.net. PHP 8.6 está en fase de pruebas y saldrá en las próximas semanas.

¿Qué pasó en octubre de 2026?

El 21 de octubre de 2026, el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, ambas con una puntuación de 9,2 sobre 10 (CVSS 4.0):

CVE-2026-109618: un error en el manejo de la falta de memoria que puede corromper datos internos de PHP y permitir ejecutar código.
CVE-2026-109619: datos internos de una petición que sobreviven y pueden ser reutilizados por la siguiente. Una de las vías confirmadas usa la función de progreso de subida de archivos de las sesiones.

Según el aviso oficial de PHP, afectan a todas las instalaciones de PHP que atienden páginas web (PHP-FPM, Apache con mod_php, CGI, LiteSpeed y otras). Un atacante puede lanzarlas con una simple petición, sin iniciar sesión y antes de que se ejecute el código de tu web. Por eso da igual que tu WordPress o tus plugins estén al día: el fallo está en PHP. El 26 de octubre, la CISA añadió ambas fallas a su catálogo de vulnerabilidades explotadas, es decir, hay ataques reales en curso. El 23 de octubre, PHP publicó además un aviso informativo sobre una tercera falla (CVE-2026-115560), relacionada con la misma función de sesiones. PHP la considera poco probable, porque solo aparece con una configuración inusual, y la corregirá en su próxima versión regular. La recomendación provisional es desactivar session.upload_progress.enabled.

¿Y PHP 7.4 y anteriores?

PHP ya no publica versiones para ellas. Por la gravedad del caso, esta vez su equipo de seguridad entregó una corrección mínima para PHP 7.4, 8.0 y 8.1, y los proveedores de paneles la adaptaron:

cPanel publicó paquetes corregidos para PHP 7.4 a 8.5 (EasyApache 4). PHP 7.3 y anteriores no recibieron corrección en cPanel.
Webuzo publicó PHP 5.6 a 8.5 con la corrección.

Esto no convierte a PHP 7.4 en una versión segura. Es una excepción para estas dos fallas concretas, no la vuelta del soporte. La próxima vulnerabilidad puede no tener corrección para versiones antiguas, y las que se descubrieron desde 2022 en adelante no siempre se adaptaron.

Qué hicimos en hosting.com.pe

Los servidores se actualizan diariamente por lo que tuvimos los parches inmediatamente cuando se publico o se actualizó PHP en los servidores. La versiones fueron cPanel (EasyApache 4 25.91 o posterior) y Webuzo (compilación del 21 de octubre); y hemos desactivado funciones recomendadas para la mitigación Aun así, una corrección aplicada por el proveedor sobre una versión antigua no equivale a usar una versión con soporte. Por eso te recomendamos actualizar.

¿Qué le puede pasar a tu sitio?

Hackeo y modificación del sitio: páginas cambiadas, redirecciones a sitios fraudulentos o publicidad no deseada.
Robo de información: datos de clientes, formularios, usuarios y contraseñas, información de facturación.
Envío de spam desde tu cuenta: tu dominio y tu correo terminan en listas negras y tus correos legítimos dejan de llegar.
Advertencias de Google: el navegador muestra «Sitio peligroso» y pierdes visitas y posicionamiento.
Suspensión preventiva: si una cuenta comprometida pone en riesgo al resto, debemos suspenderla para proteger el servidor y a los demás clientes.

¿Cómo sé qué versión de PHP usa mi sitio?

En cPanel: entra a Administrador MultiPHP (MultiPHP Manager). Verás la versión asignada a cada dominio. Si tu servidor usa CloudLinux, la opción se llama Seleccionar versión de PHP.
En Webuzo: entra a MultiPHP Manager desde el panel de usuario. Si es tu primera vez, revisa nuestra guía de Webuzo para principiantes.
En WordPress: ve a Herramientas → Salud del sitio → Información → Servidor.

Tus opciones

Opción 1: actualizar a PHP 8.3, 8.4 u 8.5 (recomendada, sin costo)

Es la solución definitiva. WordPress recomienda PHP 8.3 o superior, y la mayoría de sitios WordPress actualizados funcionan sin cambios. Antes de cambiar:

Haz una copia de seguridad de archivos y base de datos.
Actualiza WordPress, el tema y todos los plugins a su última versión. Si algún plugin lleva años sin actualizarse, busca un reemplazo.
Cambia la versión en el Administrador MultiPHP y revisa tu sitio: páginas, formularios, carrito y panel de administración.

Si usas Laravel u otro framework, revisa qué versión de PHP admite en nuestra tabla de compatibilidad de Laravel y PHP.

Opción 2: migrar a un servidor Webuzo (solución puente sin costo a la fecha)

Algunos sistemas no funcionan en PHP 8 sin que un programador modifique el código: sistemas a medida antiguos, Joomla 3, CodeIgniter 3, Laravel 5, Moodle 3 u OpenCart 3, entre otros. Si tu sitio usa PHP 7.4 o anterior y tu desarrollador necesita tiempo, podemos migrarlo a un servidor Webuzo, donde esas versiones recibieron la corrección de PHP2Shell. Importante: esta opción gana tiempo, pero no reemplaza la actualización. Esas versiones siguen siendo obsoletas y el código antiguo debe modernizarse.

Opción 3: actualizar el código de tu aplicación

Si tu sistema fue desarrollado a medida, tu programador debe adaptarlo a PHP 8.3 o superior. Si lo adapta a PHP 8.2, ten en cuenta que su soporte termina el 31 de diciembre de 2026.

Preguntas frecuentes

¿Mi código de PHP 7.2, 7.3 o 7.4 es compatible con PHP 8.2 o 8.3?

Muchas veces sí, sobre todo si usas WordPress y plugins actualizados. El código antiguo a medida suele necesitar ajustes, porque PHP 8 eliminó funciones y cambió comportamientos. Pruébalo primero en una copia del sitio o cambia la versión y revisa el registro de errores.

¿Cuál es la versión actual de PHP?

Al 30 de octubre de 2026, la más reciente es PHP 8.5 (8.5.12). PHP 8.6 está en fase de pruebas.

Si mi proveedor ya aplicó la corrección, ¿puedo seguir en PHP 7.4?

Opinamos que no es una opción, por seguridad debes actualizar a php 8.2/8.3 mínimo.

¿Necesitas ayuda?

Escríbenos a [email protected] o por WhatsApp y te ayudamos a revisar la versión de PHP de tu sitio y a elegir la mejor opción.

Fuentes

PHP: avisos de seguridad del 20, 21 y 23 de octubre de 2026, versiones con soporte y versiones sin soporte.
CISA: catálogo de vulnerabilidades explotadas (CVE-2026-109618 y CVE-2026-109619, añadidas el 26 de octubre de 2026).
Webuzo: PHP corregido para CVE-2026-109618 y CVE-2026-109619 (21 de octubre de 2026).
cPanel: notas de la versión EasyApache 4 25.91 https://docs.cpanel.net/ .
WordPress: requisitos recomendados.

¿Necesitas hosting rápido y con soporte en español?

Hosting optimizado, SSL gratis y soporte técnico 24/7 desde Perú.

Ver planes de Hosting

Equipo Técnico de Hosting Perú

Administramos servidores cPanel/WHM y VPS AlmaLinux para empresas peruanas desde hace 19 años.