Cómo actualizar la versión de PHP en Plesk, cPanel y PrestaShop

Para corregir los fallos PHP2Shell hay que actualizar el PHP del servidor. Actualizar WordPress, PrestaShop o sus plugins no basta. Si tu alojamiento se encarga del servidor, empieza por pedirle que confirme que ha instalado la corrección.

Esta guía explica cómo comprobar tu versión, actualizar desde Plesk o cPanel y revisar que la web sigue funcionando. Si buscas una explicación de los fallos, está en la noticia sobre los dos problemas de seguridad de PHP.

Comprobar qué versión de PHP usa tu web

Puedes consultarla sin entrar en la consola del servidor:

• WordPress: Herramientas → Salud del sitio → Información → Servidor. Busca «Versión de PHP».
• PrestaShop: Parámetros avanzados → Información. La versión aparece en la información del servidor.
  Cuidado que no todas las versiones de prestashop soportan todas las versiones de PHP:
• • PrestaShop 1.6: Soporta PHP 5.2 a 7.1 [Debe actualizarse a una versión de prestashop segura o debe usar otras medidas como cloudflare o protección extra del hosting]
  • PrestaShop 1.7: Soporta PHP 5.4 a 7.4 [Debe actualizarse a una versión de prestashop segura o debe usar otras medidas como cloudflare o protección extra del hosting]
  • PrestaShop 8 (8.1.x): Soporta desde PHP 7.2.5 hasta PHP 8.1 (con PHP 8.1 recomendado)
  • PrestaShop 9 (9.0 / 9.1): Soporta desde PHP 8.1 hasta PHP 8.3 / 8.5 (según subversión, con PHP 8.3 recomendado)
• Plesk: Sitios web y dominios → elige el dominio → PHP o Configuración de PHP.
• cPanel: Software → MultiPHP Manager. Algunos alojamientos usan «Select PHP Version» o «Seleccionar versión de PHP».

Comprueba cada dominio: dos webs del mismo alojamiento pueden utilizar versiones distintas. Si el panel solo muestra «8.3» o «8.4», pide al proveedor el número completo y la confirmación del parche.

El aviso oficial de PHP recoge estas versiones, publicadas el 21 de octubre de 2026:

Algunos proveedores incorporan la corrección sin cambiar el número principal que ves en el panel. Una versión inferior a la tabla necesita una comprobación con el alojamiento; por sí sola no demuestra que siga siendo vulnerable.

Pedir la actualización al proveedor de alojamiento

Si tienes un hosting compartido o gestionado, normalmente el proveedor instala las actualizaciones de PHP. Tú puedes tener permiso para elegir una versión para tu web, pero eso no significa que puedas instalar el parche en el servidor.

Revisa sus avisos de seguridad. Si no hay una confirmación clara para tu cuenta, puedes enviar este mensaje al soporte:

Hola. Necesito confirmar que mis webs están protegidas frente a los fallos CVE-2026-109618 y CVE-2026-109619 de PHP, conocidos como PHP2Shell.

¿Qué versión de PHP utiliza cada dominio? ¿Habéis instalado la corrección y reiniciado los servicios necesarios?

Si alguna web utiliza una versión antigua, indicadme si tiene un parche del proveedor o qué cambio necesita. Antes de cambiarla a otra versión de PHP, necesito comprobar la compatibilidad de la web.

Si hace falta una parada, os pido que sea breve y que el servidor devuelva un código 503, para indicar que es temporal. Gracias.

Guarda la respuesta. Si el proveedor ya ha aplicado la corrección, pasa a las comprobaciones del final de esta guía.

Preparar la actualización de PHP

Actualizar dentro de la misma versión y cambiar a otra son operaciones distintas. Pasar de PHP 8.3.35 a 8.3.36 instala una corrección. Pasar de PHP 7.4 a 8.4 puede exigir cambios en la web, los temas o los módulos.

1. Comprueba que tienes una copia reciente de los archivos y de la base de datos, y que sabes cómo recuperarla.
2. Anota qué versión usa cada dominio.
3. Si vas a cambiar, por ejemplo, de PHP 8.1 a 8.4, revisa la compatibilidad y pruébalo primero en una copia de la web.
4. Haz el cambio cuando puedas comprobar el resultado y tengas disponible al soporte si algo falla.

Si la versión actual tiene una actualización corregida y compatible, no necesitas aprovechar esta intervención para cambiar también de versión de WordPress, PrestaShop o plantilla.

Actualizar la versión de PHP en Plesk

En Plesk hay dos tareas: instalar las actualizaciones disponibles en el servidor y comprobar qué PHP utiliza cada dominio. La primera requiere permisos de administración. Si no ves «Herramientas y configuración», pide al alojamiento que la haga.

Instalar la actualización en el servidor

1. Entra en Herramientas y configuración → Actualizaciones. Se abrirá el instalador de Plesk.
2. Abre Actualizar componentes o «Actualización de componentes del producto», según el idioma del panel.
3. Revisa las versiones de PHP con actualizaciones disponibles y pulsa Continuar.
4. Espera a que termine y comprueba que no haya errores. Revisa las versiones instaladas en Herramientas y configuración → Componentes de Plesk.
5. Confirma que los servicios de PHP que utilizan tus webs se han reiniciado. Si no sabes comprobarlo, pídelo al administrador.

El recorrido está descrito en la documentación de actualizaciones de Plesk. Que ha sido probado y ejecutado con éxito.

Elegir la versión que utiliza cada dominio

1. Ve a Sitios web y dominios y selecciona la web.
2. Abre PHP o Configuración de PHP.
3. Comprueba la versión seleccionada. Si necesitas cambiarla, elige una que tenga la corrección y sea compatible con tu web.
4. Guarda el cambio y prueba la web. Repite la comprobación en los demás dominios.

Si falta la versión que necesitas, tendrá que instalarla el administrador. Puedes consultar el selector en la ayuda de configuración de PHP de Plesk.

Actualizar la versión de PHP en cPanel

cPanel permite elegir la versión de una web; WHM permite administrar el servidor. Si solo tienes cPanel, empieza por pedir al proveedor que confirme que las versiones disponibles incluyen la corrección.

Cambiar la versión de un dominio desde cPanel

1. Abre Software → MultiPHP Manager.
2. Selecciona el dominio que quieres revisar.
3. Si necesitas cambiarlo, elige una versión compatible que el proveedor haya confirmado como corregida.
4. Pulsa Apply o «Aplicar» y comprueba la web.

Estos pasos corresponden a MultiPHP Manager. Si tu panel muestra «Select PHP Version», utiliza las instrucciones de tu alojamiento: es un selector diferente.

Instalar la actualización desde WHM

Este apartado es para quien administra el servidor. 

1. Comprueba que el proveedor de los paquetes de PHP ya ha publicado la corrección.
2. Entra en Software → System Update. Esta herramienta actualiza los paquetes del servidor, no solo PHP. Si necesitas actualizar únicamente PHP, el administrador debe hacerlo por la vía correspondiente a su sistema.
3. Tras instalarla, reinicia el servicio que ejecuta PHP. Si utilizas PHP-FPM, está en Restart Services → PHP-FPM Service for Apache, según la documentación de cPanel. Otras configuraciones pueden requerir reiniciar Apache u otro servicio.
4. Revisa en Software → MultiPHP Manager qué versión usa cada dominio y confirma que todos utilizan paquetes corregidos.

Si el servidor usa CloudLinux y su selector de PHP, comprueba también las versiones gestionadas por ese selector. Actualizar una instalación de PHP no garantiza que las demás estén actualizadas.

Actualizar PHP si tu tienda usa PrestaShop

PHP se actualiza desde el alojamiento o el servidor, no desde el panel de PrestaShop. Antes de cambiar de versión, comprueba que sea compatible con tu versión de la tienda, la plantilla y los módulos.

1. Consulta la versión actual en Parámetros avanzados → Información.
2. Pide al alojamiento que confirme si esa versión tiene la corrección.
3. Si necesitas pasar a otra versión de PHP, prueba primero una copia de la tienda.
4. Después del cambio, revisa el acceso al panel, las fichas de producto, el carrito y el proceso de compra.

Para tiendas antiguas, PrestaShop recomienda preguntar por un paquete corregido para el PHP que ya utilizan. Una migración completa de la tienda requiere su propia preparación; no conviene improvisarla como respuesta a esta urgencia.

Cerrar temporalmente la web durante la actualización

Pregunta al administrador si hace falta cerrar. Si hay una parada, prepara un aviso de mantenimiento servido por el alojamiento o el CDN, sin depender de PHP. Activar un plugin de mantenimiento no bloquea estos ataques, porque pueden ocurrir antes de que se ejecute la aplicación.

Para una interrupción breve, Google recomienda responder con un código 503. Ese código indica que la web no está disponible temporalmente. No garantiza conservar las posiciones si el cierre se prolonga.

• 503 durante la parada: no devuelvas un 404, que indica que la página no existe, ni un 200 con el mismo aviso en todas las páginas.
• Retry-After: esta cabecera permite indicar al rastreador cuándo puede volver a intentarlo. Es una indicación, no una cita garantizada.
• robots.txt accesible: conserva su respuesta normal y no añadas un bloqueo general para hacer el mantenimiento.
• Una parada breve: Google plantea el 503 para cierres de uno o dos días. Una interrupción más larga puede afectar a la indexación.

Si no administras el servidor, pasa estas indicaciones al alojamiento. No necesitas modificar archivos de configuración para pedir una parada bien hecha. Para ampliar, tienes los artículos sobre códigos de respuesta y SEO y el uso de 503 y Retry-After.

Qué hacer si todavía no puedes actualizar

Pregunta al proveedor cómo va a proteger el servidor y cuándo tendrá disponible la corrección. Según el equipo de PHP, las medidas temporales solo bloquean algunas formas de ataque; la solución completa es instalar la actualización.

Cloudflare u otro cortafuegos web pueden añadir protección, pero no sustituyen el parche. Bloquear formularios o subidas también puede impedir pagos, altas de usuarios o importaciones: cualquier medida temporal debe revisarla quien administra el servidor. Si no puede mantenerlo protegido, tendrá que valorar aislarlo hasta actualizar.

Comprobar la web después de actualizar PHP

1. Confirma la versión y el parche. Revisa cada dominio y pide al administrador que confirme el reinicio de los servicios necesarios.
2. Prueba varias páginas. Abre la portada, una categoría, una ficha o artículo y el panel de administración. Comprueba también formularios, subidas y, si hay tienda, una compra de prueba.
3. Retira el mantenimiento. Comprueba que las páginas vuelven a mostrar su contenido y a responder con normalidad. Elimina los bloqueos temporales que ya no hagan falta.
4. Revisa Search Console. En Ajustes → Estadísticas de rastreo, observa si persisten los errores del servidor. Los informes no se actualizan al instante.
5. Pide una revisión de seguridad si hubo exposición. Instalar el parche no elimina una intrusión anterior. Si aparecen archivos, usuarios o tareas desconocidos, pide al responsable técnico que investigue y conserve los registros.