Un fallo de seguridad en PHP, la tecnología con la que funcionan la mayoría de las páginas web, ha obligado este 21/10/2026 a actualizar millones de servidores en todo el mundo y ha llevado a varios gobiernos europeos a desconectar webs oficiales por precaución. El problema, bautizado como PHP2Shell, permitía a un atacante tomar el control de una web sin necesidad de contraseña. Ya existe una solución, pero depende de quienes gestionan cada página, no de los usuarios.
Las claves del fallo PHP2Shell en 30 segundos
INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, clasificó el aviso como de importancia crítica, el nivel más alto de su escala. Las empresas de seguridad Cloudflare, Patchstack y watchTowr han informado de intentos de ataque desde que la existencia del fallo se filtró, un día antes de que estuviera listo el arreglo.
Cuando alguien entra en un periódico digital, en la web de su ayuntamiento, en una tienda online o en el blog de un restaurante, detrás suele haber un servidor que prepara la página en ese momento. En la mayoría de los casos, ese trabajo lo hace PHP, un lenguaje de programación que existe desde hace más de 30 años. Según W3Techs, PHP está detrás del 69,3 % de las webs cuyo sistema se puede identificar. WordPress, el programa con el que se crean muchísimas páginas, funciona con PHP.
El fallo no estaba en una web concreta ni en un programa añadido, sino en el propio PHP. Por eso afecta a tantas páginas a la vez, aunque estén bien hechas. Los investigadores que lo descubrieron, de las empresas Wiz, OpenAI y Calif, demostraron que podían tomar el control de servidores con WordPress, Drupal o Joomla sin ningún usuario ni contraseña. Un atacante también podría leer información guardada temporalmente en el servidor, como contraseñas o claves de acceso.
No directamente. PHP funciona en los servidores donde se alojan las páginas web, no en los teléfonos ni en los ordenadores de quienes las visitan. No hay que instalar ninguna actualización en el móvil ni en el ordenador por este motivo.
El riesgo para el usuario es indirecto: si una web en la que tiene cuenta no se actualiza y un atacante entra en ella, podría acceder a los datos que esa web guarda, como el correo, el nombre o la contraseña. Por eso conviene seguir algunas pautas básicas:
La gravedad del fallo se vio en la reacción de las administraciones. En Países Bajos, el Centro Nacional de Ciberseguridad desconectó su propia web por precaución, y le siguieron otros portales públicos y servicios de acceso de los ciudadanos. Finlandia, Dinamarca, Francia, Alemania y Bélgica también retiraron temporalmente algunas webs oficiales mientras llegaba el arreglo, según la información recogida por medios internacionales.
Quien tiene una web, aunque sea un pequeño negocio o un blog, sí debe actuar. Lo más sencillo es preguntar a la empresa de alojamiento si ya ha actualizado PHP, porque en la mayoría de los casos es ella quien lo hace. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las webs que siguen con versiones antiguas, como PHP 7 o PHP 5, no tienen una actualización oficial nueva y lo recomendable es pasar a una versión moderna. En WPDirecto se explica qué hacer si la web está hecha con WordPress, y en OpenSecurity se puede leer cómo se filtró el fallo antes del parche. Para los perfiles más técnicos, Revista Cloud ha recopilado qué sistemas y paneles ya tienen la corrección.
Es el nombre de dos fallos de seguridad graves en PHP, la tecnología con la que funcionan la mayoría de las webs. Permitían a un atacante tomar el control de una página sin contraseña.
No. El fallo está en los servidores donde se alojan las webs. Son los responsables de cada página quienes deben actualizar PHP.
Solo si una web donde tienes cuenta no se ha actualizado y sufre un ataque. Usar contraseñas distintas y la verificación en dos pasos reduce mucho el riesgo.
El teléfono 017 de INCIBE ofrece ayuda gratuita y confidencial sobre ciberseguridad a ciudadanos y empresas.
Fuentes:
