PHP2Shell: por qué las tiendas WhizzyCommerce no están afectadas

PHP2Shell es el nombre de dos fallos en el propio PHP, CVE-2026-109618 y CVE-2026-109619, cada uno con una puntuación de 9,2 sobre 10. Según Sansec, todas las versiones de PHP desde la 5.4 (2012) están afectadas, tanto con Apache mod_php como con PHP-FPM, con la configuración por defecto. El ataque es una petición de subida de archivos preparada a propósito, que PHP procesa antes de que arranque el código de la tienda. Por eso un Magento, WordPress o Shopware totalmente actualizado está tan expuesto como uno abandonado.

Dos cosas lo hacen peor de lo habitual. El modo mantenimiento no sirve, porque PHP lee la petición antes de que la aplicación lo compruebe. Y además de ejecutar código, el fallo puede filtrar memoria de peticiones anteriores: contraseñas, sesiones, claves de API e incluso claves privadas TLS. El aviso oficial de PHP dice que no hay mitigación completa y que actualizar es la única solución total. Se informó de ataques reales en pocas horas.

WhizzyCommerce no usa PHP. Ni en las tiendas, ni en el checkout, ni en el panel. Un fallo en el motor de PHP no tiene dónde ejecutarse.

No tiene que hacer nada. Ninguna actualización que instalar, ningún ajuste que cambiar, ninguna clave que rotar por esto. Los servidores, las actualizaciones de seguridad y el software detrás de cada tienda son trabajo nuestro, y para eso sirve una plataforma alojada: el próximo fallo a nivel de motor, en el lenguaje que sea, lo corregimos nosotros, no usted.

1. 1

   Actualice PHP ya

   Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Actualizar Magento o los plugins no basta; es PHP el que tiene que cambiar. En un alojamiento gestionado, pida a su proveedor que confirme la versión por escrito.

2. 2

   Con PHP 8.1 o anterior, planifique el salto

   Las versiones antiguas no reciben corrección. Normalmente eso obliga a actualizar también el software de la tienda, así que empiece hoy y, mientras tanto, proteja el servidor con el paso siguiente.

3. 3

   Hasta poder actualizar, bloquee las subidas en el servidor web

   Sansec sugiere rechazar las peticiones multipart/form-data en nginx o Apache, o servir solo GET y HEAD. Ambas opciones rompen formularios y subidas de archivos, así que pruebe el checkout después. Activar el modo mantenimiento de la aplicación no basta.

4. 4

   Asuma que pueden haberse filtrado secretos

   Si el servidor ejecutó un PHP sin corregir desde el 20 de octubre, cambie las contraseñas de la base de datos y del admin, rote las claves de pago y de API y valore sustituir el certificado TLS. Busque archivos PHP que no reconozca en carpetas con escritura, como pub/media.

5. 5

   Elimine lo que quedó atrás

   Scripts de instalación antiguos, herramientas de prueba e importadores olvidados en la raíz web son lo primero que llama un atacante cuando puede ejecutar código. Si usó nuestro conector de Magento, compruebe que pub/whizzy/import.php se ha borrado.

Muchos comerciantes actualizan PHP esta semana y deciden que es la última vez. Si es su caso, así es un cambio a WhizzyCommerce. Después no hay PHP que parchear, ni servidor, ni actualizaciones de seguridad en su lista: esa parte es nuestra.

Pídalo en cambiar desde Magento y respondemos en un día laborable. Antes del cambio, lea cómo dejar Magento sin perder posiciones en Google y, si su versión se queda sin soporte, el fin de vida de Magento 2.

• Lo hacemos por usted, gratis. Para las primeras 100 tiendas que dejan Magento, una persona de nuestro equipo hace el cambio, revisa lo que llegó y le entrega la tienda lista para abrir.
• Llega la tienda entera. Categorías, productos con sus variantes e imágenes, clientes, pedidos y promociones. Los clientes crean una contraseña nueva al iniciar sesión por primera vez, y los pedidos llegan como historial, sin nada que enviar ni reembolsar.
• Primero un ensayo. El importador muestra lo que va a traer antes de escribir nada, y es un único archivo en su Magento que se borra al final.
• Sus posiciones en Google se mantienen. Las direcciones antiguas de productos y categorías pasan a las nuevas páginas con redirecciones 301, incluidas las del propio Magento.
• Gratis hasta que vende. Sin cuota mensual en el plan Free; solo paga una pequeña comisión cuando entra un pedido.