Esta semana ha tenido que parchear PHP en todos sus servidores. Los sitios que corren en BookPress no lo necesitan.
✓ Gracias, le escribiremos.
Respondemos en un día laborable. Mientras tanto, puede probar un sitio en vivo: arranque un sitio de demostración →
BookPress sirve sitios WordPress, con sus plugins y su wp-admin, desde un único motor compilado, sin intérprete de PHP en el camino de la petición. PHP2Shell (CVE-2026-109618 y CVE-2026-109619) vive en ese intérprete. Pase diez sitios no críticos a BookPress durante doce meses sin coste, y devuélvalos con un comando cuando quiera.
Qué es PHP2Shell
El 21 de octubre de 2026 el proyecto PHP corrigió dos fallos puntuados con un 9,2 sobre 10: CVE-2026-109618, en el que una petición que se queda sin memoria a mitad de la preparación deja datos de los que luego se fía la limpieza, y CVE-2026-109619, en el que el estado que deja una petición llega a la siguiente petición del mismo worker. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; de PHP 7.4 a 8.1 solo hubo parches de código fuente, y las versiones anteriores no recibieron nada. Según el proyecto PHP, está afectada toda instalación que sirva peticiones web: PHP-FPM, mod_php, php-cgi, FrankenPHP y LiteSpeed. Hubo intentos de ataque cuatro días antes de que la corrección fuera pública.
Por qué un sitio en BookPress queda fuera
BookPress sirve cada sitio desde su propio motor, y ese motor no contiene código del proyecto PHP: nada se copia, se compila ni se enlaza desde PHP, así que los dos fallos de PHP2Shell no tienen código en el que vivir. No hay PHP-FPM, mod_php ni ningún otro proceso PHP en el camino de la petición; sus plugins, su tema y su wp-config.php corren dentro del motor BookPress. El motor no mantiene sesiones PHP y no tiene manejador de progreso de subidas, que son los caminos por los que entra el segundo fallo. Cada worker borra su estado al terminar cada petición, y una petición que llega a su límite de memoria se detiene y su memoria se descarta. El WordPress desde el que importa sigue sirviendo sobre su propio PHP hasta que usted cambie, así que actualice ese PHP hoy de todos modos.
Un comando para entrar, otro para volver
La importación vuelca la base de datos MySQL de producción con el propio WP-CLI del sitio, copia wp-content y registra cómo deshacerse:
wp bookpress import --dir=/var/www/wordpress --dry-run
wp bookpress import --dir=/var/www/wordpressLa exportación devuelve el esquema propio del origen, la base de datos y las subidas, y se niega a sobrescribir un sitio en producción sin preguntar:
wp bookpress export --dir=/var/www/wordpressSus temas, plugins, usuarios y URL se quedan como están. La página de instalación del piloto le acompaña paso a paso en el primer sitio.
Qué es el piloto
Diez sitios no críticos, doce meses, sin factura. Usted deja WordPress donde está y nos cuenta qué ha cambiado.
El piloto Condiciones del piloto →
¿No es un hosting ni una agencia? Estamos preparando hosting WordPress gestionado sobre BookPress. Apúntese a la lista →