¿Tu web está a salvo de PHP2Shell?
El 21 de octubre de 2026 se publicó un fallo de PHP que permite tomar el control del servidor sin usuario ni contraseña. Compruébalo desde dentro de tu web y, si está corregida, llévate un certificado público y un sello para enseñarlo.
- Comprobación real, no una suposición desde fuera
- Certificado con código y QR verificable
- Revisión semanal automática
Comprobar mi web
Cómo funciona
Das de alta tu web
Solo el dominio y tu correo. Te damos un fichero de comprobación hecho para tu web, con una clave única.
Subes el fichero
A la carpeta principal de tu web, por FTP o desde el administrador de archivos de tu hosting. Es lo único técnico, y te lo explicamos paso a paso.
Pulsas «Comprobar»
Preguntamos a tu web qué PHP ejecuta. Si incluye la corrección, emitimos tu certificado al momento. Si no, te decimos qué falta.
Qué certifica y qué no
Lo que sí dice el certificado
- Qué versión de PHP ejecutaba tu web y en qué fecha lo comprobamos.
- Que esa versión incluye la corrección de PHP2Shell (CVE-2026-109618 y CVE-2026-109619).
- Que la web es tuya: solo quien puede subir ficheros a ella puede certificarla.
- Su estado al día: lo revisamos cada semana y la página del certificado lo enseña en vivo.
Lo que no dice
- Que tu web sea «segura» o «invulnerable»: eso no lo puede firmar nadie.
- Nada sobre tus plugins, tu tema, tus contraseñas o tu servidor más allá de la versión de PHP.
- Nada después de su fecha de caducidad.
Versiones con la corrección
PHP publicó el parche el 21 de octubre de 2026 para las ramas que todavía reciben actualizaciones de seguridad. Las anteriores no lo tendrán nunca.
| Rama | Corregida desde | Recibe parches hasta |
|---|---|---|
| PHP 8.5 | ✓ 8.5.12 | 31 de diciembre de 202931/12/2029 |
| PHP 8.4 | ✓ 8.4.27 | 31 de diciembre de 202831/12/2028 |
| PHP 8.3 | ✓ 8.3.36 | 31 de diciembre de 202731/12/2027 |
| PHP 8.2 | ✓ 8.2.35 | 31 de diciembre de 202631/12/2026 |
| PHP 8.1 o anterior | ✗ Sin parche | Ya no recibe parches |
¿Tienes muchas webs o eres una agencia?
Puedes dar de alta cada web por separado, con el mismo correo. Si son muchas o alguna sale vulnerable, llámanos al 655 48 81 04 y lo vemos juntos.
Comprobar una webPreguntas frecuentes
¿Es gratis de verdad?
Sí. La comprobación y el certificado no cuestan nada. Si tu web sale vulnerable, te ofrecemos arreglarlo, pero no tienes ninguna obligación: el informe te explica qué hay que hacer para que lo haga tu proveedor.
¿Por qué tengo que subir un fichero a mi web?
Porque es la única forma fiable de saber qué PHP ejecuta tu web. Desde fuera, la mitad de las webs no dicen su versión y otras dicen una que no es. El fichero, además, demuestra que la web es tuya: nadie puede certificar una web ajena.
¿El fichero es seguro?
Solo responde a peticiones firmadas por nosotros con una clave que es única para tu web, caducan a los 10 minutos y solo devuelven la versión de PHP. A cualquier otra visita le contesta «no encontrado». No lee tus ficheros, no toca tu base de datos y no ejecuta nada que venga de fuera. Puedes abrirlo y leerlo antes de subirlo: son 20 líneas.
¿Qué pasa si borro el fichero?
Nada en tu web. Tu certificado pasará a «no verificable» en la siguiente comprobación semanal, porque ya no podremos confirmar que sigue cumpliendo.
¿Cuánto dura el certificado?
90 días. Antes de que caduque te avisamos y lo renuevas con un clic, si la web sigue al día. Mientras tanto lo comprobamos cada semana: si alguien cambia el PHP de tu web a una versión vulnerable, el certificado lo dirá en su propia página.
¿El certificado dice que mi web es segura?
No, y ningún certificado honrado puede decirlo. Dice que, en una fecha concreta, tu web funcionaba con una versión de PHP que incluye la corrección de PHP2Shell. Es lo que se puede comprobar y es lo que firmamos.
Mi hosting usa PHP de Debian o Ubuntu y sale «falta actualizar»
Algunas distribuciones meten el parche sin cambiar el número de versión. Si es tu caso, escríbenos desde tu panel: lo revisamos a mano.
Uso WordPress, Prestashop, Joomla…
Da igual: lo que comprobamos es el PHP del servidor, que es donde está el fallo. El fichero se sube a la carpeta principal de la web, la misma donde está el index.