El 21 de octubre de 2026, el equipo de PHP publicó una actualización de emergencia para corregir dos vulnerabilidades críticas. Afectan a casi todos los sitios web que funcionan con PHP en el mundo, incluidos WordPress, WooCommerce, Joomla, Drupal, PrestaShop, Magento y Moodle.

No es una falla de Webzi ni de un proveedor en particular: es un problema global del lenguaje PHP, que impacta por igual a todas las empresas de hosting.

En Webzi nos tomamos muy en serio la seguridad de tu información. Desde que se dio a conocer el aviso, nuestro equipo técnico trabaja de forma prioritaria para proteger tus sitios, tus correos y los datos de tus clientes. Al tratarse de una afectación global, para nosotros es vital actuar de manera oportuna y mantenerte informado con claridad.

¿Qué está pasando?

Se descubrieron dos fallas graves dentro de PHP, el lenguaje con el que funciona cerca del 70% de los sitios web. Se identifican como CVE-2026-109618 y CVE-2026-109619, y se les conoce en conjunto como PHP2Shell.

Ambas tienen una calificación de severidad de 9.2 sobre 10 (crítica). Parte de los detalles se filtró un día antes de que existiera la corrección, y ya se han detectado intentos de ataque en internet.

La falla está en PHP mismo, no en WordPress, en tu tema ni en tus plugins. Por eso se corrige actualizando PHP en el servidor. Estas son las versiones que incluyen la corrección:

En un servidor con PHP sin corregir, un atacante podría tomar el control de un sitio sin necesidad de usuario ni contraseña. En términos prácticos, el riesgo es:

• Toma de control del sitio: instalar archivos maliciosos, modificar contenido o redirigir a tus visitantes a páginas fraudulentas.
• Exposición de información: una de las fallas puede revelar datos que el servidor maneja en ese momento, como contraseñas o sesiones de usuarios.
• Alcance general: no importa qué tan actualizado esté tu WordPress o tu aplicación; el riesgo depende de la versión de PHP del servidor.

Importante: esto no significa que tu sitio haya sido vulnerado. Significa que existe un riesgo que debe cerrarse cuanto antes, y en eso estamos trabajando.

¿Qué estamos haciendo en Webzi?

Nuestro equipo técnico atiende esta vulnerabilidad servidor por servidor, sin costo y sin que tengas que solicitarlo. Esto es lo que ya está en marcha:

• Protección activa desde hoy. El firewall de nuestro Escudo de Seguridad ya bloquea el patrón de ataque conocido de esta vulnerabilidad, como capa extra mientras se completa la actualización.
• Ajustes preventivos en PHP. Estamos aplicando en cada servidor las medidas temporales que recomienda el propio equipo de PHP para reducir el riesgo, sin interrumpir tu sitio.
• Actualización definitiva de PHP. Instalaremos las versiones corregidas en cuanto nuestros proveedores de software (cPanel y CloudLinux) publiquen sus paquetes; sus equipos ya trabajan en ellos. Te lo confirmaremos en este artículo.
• Revisión de seguridad de cada servidor. Validamos el estado de las protecciones y buscamos cualquier señal de actividad maliciosa. Si detectamos algo en tu cuenta, te contactaremos directamente.
• Aislamiento entre cuentas. Cada cuenta de hosting opera separada de las demás, lo que limita el alcance de cualquier incidente.
• Respaldos diarios externos. Tu información está respaldada y puede restaurarse si fuera necesario.

Actualizaremos este artículo conforme avance el proceso.

¿Necesitas hacer algo?

Depende del tipo de servicio que tengas con nosotros.

Hosting, WordPress Hosting y Reseller

No necesitas hacer nada para recibir la corrección: la aplicamos directamente en el servidor. Como complemento, te recomendamos:

1. Revisa tu versión de PHP. En cPanel, entra a Software → Seleccionar versión de PHP. Si usas PHP 8.1 o anterior, cambia a PHP 8.3 o superior; la 8.2 deja de recibir soporte el 31 de diciembre de 2026. Antes del cambio, haz un respaldo y verifica que tu tema y plugins sean compatibles.
2. Cambia tus contraseñas de forma preventiva, sobre todo si tienes una tienda en línea o manejas datos de clientes: el administrador de tu sitio (por ejemplo, WordPress), cPanel y las claves de pasarelas de pago o servicios conectados.
3. Revisa los usuarios administradores de tu WordPress o aplicación. Si encuentras alguno que no reconoces, escríbenos de inmediato.
4. Mantén actualizados WordPress, tu tema y tus plugins. No corrige esta falla, pero cierra otras puertas de entrada.
5. Desconfía de correos que te pidan accesos. Webzi nunca te pedirá tu contraseña por correo. Si necesitas compartir información sensible con soporte, usa nuestra herramienta cifrada secret.wbz.mx, nunca el ticket ni el correo.

Si eres Reseller, puedes compartir este artículo con tus clientes.

VPS y servidores dedicados

Al ser servicios autoadministrados, la actualización de PHP se realiza desde tu servidor:

1. cPanel/WHM: verifica que las actualizaciones automáticas de cPanel estén activas; los paquetes corregidos llegarán por su proceso habitual de actualización y EasyApache 4. Si usas CloudLinux, actualiza también los paquetes alt-php.
2. Plesk: instala las actualizaciones de PHP desde Herramientas y configuración → Actualizaciones.
3. Windows Server (IIS): instala la versión corregida de PHP para tu rama y reinicia IIS.
4. Reinicia PHP (PHP-FPM, Apache o LiteSpeed) después de actualizar; si no, puede seguir ejecutándose la versión anterior.
5. Si usas PHP 8.1 o anterior, cambia a una versión con soporte o confirma que tu proveedor de paquetes ya publicó el parche.

Si no puedes actualizar de inmediato, o prefieres que nuestro equipo lo haga por ti, escríbenos y te compartimos las opciones, como nuestro servicio Web Guardians o DevOps.

Preguntas frecuentes

¿Necesitas ayuda?

Si tienes dudas o notas algo inusual en tu sitio, nuestro equipo te atiende 24/7 por chat, WhatsApp o abriendo un ticket desde el portal de clientes.

Gracias por tu confianza. Proteger tu sitio y la información de tus clientes es una prioridad para todo el equipo de Webzi.