PHP2Shell: parchea hoy tu web PHP y migra solo si compensa

A las 09:43 del miércoles, hora de Madrid, Cloudflare ya veía tráfico de ataque contra sus clientes. El parche de PHP llegó a las 16:00, más de seis horas después. Entre una cosa y otra, mucha gente se enteró de que su tienda corre sobre algo que no sabía que existía.

PHP es el lenguaje del servidor en el 69,3 % de las webs cuyo lenguaje se conoce, según W3Techs. Los dos fallos, apodados PHP2Shell, están en el propio motor. No importa lo cuidadoso que fuera el equipo que montó tu tienda.

Esto no va de alarma. Va de orden.

Por qué actualizar WordPress o PrestaShop no sirve de nada aquí

PHP es el intérprete que ejecuta tu código. Los fallos viven ahí, por debajo de tu tema, de tus módulos y de tu CMS. El propio proyecto reconoce que en Apache con mod_php hay un exploit demostrado en el que una petición sin autenticar dispara el ataque antes de que corra ningún código de la aplicación.

Sansec demostró ejecución remota en instalaciones por defecto de Magento, WordPress, Drupal y Joomla, entre otras. PrestaShop lo resume en una línea: actualizar PHP lo arregla, actualizar PrestaShop no.

¿Cuánto hay de real y cuánto de ruido? Las dos lecturas son ciertas. CISA dijo que no había observado explotación al publicar su aviso. Cloudflare sí vio ataques contra clientes, con cargas modificadas para esquivar defensas, y Sansec espera explotación masiva ahora que el parche y los análisis son públicos.

Nuestra lectura: ningún motivo para el pánico, ningún motivo para dejarlo para el mes que viene.

Parchear esta semana, en este orden

1. Averigua qué PHP corre. En WordPress, en Herramientas > Salud del sitio > Información > Servidor. En PrestaShop, en Parámetros avanzados > Información.
2. Si tu hosting gestiona PHP, pídele confirmación por escrito. No te fíes del número de versión: las distribuciones a veces aplican la corrección sin cambiarlo.
3. Si administras el servidor, instala la versión corregida y reinicia todos los procesos PHP.
4. Si estás en PHP 8.1 o anterior, pregunta por un backport. El proyecto publicó parches de código para 7.4, 8.0 y 8.1, pero aplicarlos es cosa de quien administra el servidor. Y PHP 8.2 deja de recibir correcciones el 31 de diciembre de 2026: ya hay fecha.
5. Después, rota claves. Uno de los fallos puede devolver memoria de otras peticiones, con contraseñas, tokens y claves API dentro. Si tu servidor estuvo expuesto estos días, cambiar las claves de la pasarela de pago, del ERP y del correo sale barato.

El WAF de Cloudflare ayuda: está activo por defecto desde las 05:02 del miércoles en planes gratuitos y de pago. Pero la propia Cloudflare dice que no sustituye al parche.

El trabajo de verdad suele venir después del parche. Un PrestaShop 1.7 o un tema antiguo pueden no arrancar en una versión de PHP más reciente, y PrestaShop avisa de que un salto de versión mayor no es una solución de emergencia: mejor no apresurarlo. Es el tipo de trabajo que hacemos en desarrollo PrestaShop y desarrollo WooCommerce: subir la versión de PHP, probar módulos y tema antes de tocar producción y devolverte la tienda vendiendo.

Migrar no es parchear: cuándo sí, y a dónde

Cada vez que aparece un fallo así, alguien propone la salida radical: tirar el WordPress y empezar de cero. A veces tiene razón. Casi nunca en la misma semana. La primera semana tras un aviso crítico es el peor momento para elegir plataforma, porque lo urgente es el motor, no el escaparate.

Cuando llega el momento de decidir, esta es la tabla que usamos:

Tu situación	Qué suele convenir	Dónde lo contamos
Tienda con catálogo y pagos en PrestaShop, WooCommerce o Magento, y mantenerla cuesta más que cambiarla	Shopify: el servidor y su seguridad dejan de ser tuyos	Migración ecommerce · Tiendas Shopify
Web corporativa o blog en WordPress, sin tienda	Astro y Cloudflare Pages: páginas ya generadas, sin PHP respondiendo a cada visita	WordPress a Astro · Desarrollo web Astro
Todo funciona y solo falla la versión de PHP	Parchear y quedarte. Te lo decimos aunque nos cueste el proyecto	Desarrollo PrestaShop · Desarrollo WooCommerce

Una web en Astro sale como ficheros ya generados y se sirve desde la red de Cloudflare Pages. No hay un intérprete PHP respondiendo a cada petición ni plugins que parchear. Epinium, Roicos, Datali y Accountali eran WordPress hasta este año y hoy corren así. Las migramos nosotros, con sus blogs, sus landings, varios idiomas y los formularios conectados al CRM.

Con Shopify el servidor deja de ser tuyo. A cambio pagas un plan mensual, apps con su propia suscripción y aceptas una estructura de URLs fija. Lo desmenuzamos en WooCommerce vs Shopify.

Y una advertencia incómoda: migrar no te hace invulnerable, mueve el riesgo. Tu CRM, tu ERP y tu panel de administración siguen existiendo, y si alguno corre PHP en algún servidor, ese servidor sigue necesitando el parche. Además, nadie puede prometerte que Google te deje en las mismas posiciones tras migrar. Lo que sí se hace es mapear cada URL y poner una redirección 301 a cada dirección que cambia.

Preguntas frecuentes

¿Mi web está afectada si el hosting es gestionado?

Si tu web está hecha en PHP, lo está hasta que quien administra el servidor aplique el parche. Que el hosting lo gestione cambia quién lo hace, no si hay que hacerlo. Pídele confirmación por escrito y la versión exacta que corre.

¿Me protege el WAF de Cloudflare?

Te da una capa más, y es buena idea tenerla activa en modo bloqueo. Pero Cloudflare insiste en que hay que parchear PHP igualmente. Si tu servidor de origen acepta tráfico directo, sin pasar por el WAF, la protección se queda corta.

¿Qué hago si estoy en PHP 8.1 o anterior?

Pregunta a tu proveedor si tiene un backport para tu versión: el proyecto PHP publicó parches de código para 7.4, 8.0 y 8.1, y algunas distribuciones los empaquetan. Si no existe, toca subir de versión. Ahí conviene comprobar antes que módulos y tema funcionan, porque es donde se rompen las tiendas antiguas.

¿Una web en Astro o una tienda en Shopify tiene este problema?

El fallo está en el motor PHP que atiende peticiones web. Una web Astro publicada en Cloudflare Pages se sirve como archivos ya generados, sin PHP respondiendo, y en Shopify el servidor ya no es tuyo. Lo que no desaparece es el resto de tu stack: cualquier sistema tuyo que corra PHP necesita el parche igual.

¿Parcheo ahora y migro después, o migro directamente?

Parchea ahora. Es lo único que reduce el riesgo esta semana y no depende de que cierres antes un proyecto. Migrar cuando el mantenimiento recurrente te cuesta más que cambiar, con un alcance escrito y un plazo cerrado, es una decisión aparte y mejor tomada en frío.

¿Podéis garantizar que no pierdo SEO al migrar?

No, y desconfía de quien lo haga. Mapeamos las URLs antes del cambio, ponemos una redirección 301 a cada dirección que cambia y trasladamos títulos, datos estructurados y sitemap. Las posiciones dependen de Google, y los buscadores tardan en asentarse.

Lo que queda cuando pase el aviso

Dentro de unas semanas nadie recordará el nombre del fallo. Quedará una fecha, el 31 de diciembre, y una pregunta que cada equipo debería saber contestar sin abrir tres paneles: qué corre dónde, y quién lo actualiza. La próxima vez que salte un aviso así, tardar cinco minutos en saberlo o cinco días será la diferencia entre un miércoles normal y una semana de urgencias.