Hay algo que me parece especialmente inquietante de los ciberataques: podemos tener todas las contraseñas bien protegidas y, aun así, que el problema esté en una pieza de Internet que ni siquiera sabemos que existe. Eso es lo que ha ocurrido con PHP2Shell, el nombre que reciben dos fallos críticos de PHP. Suena técnico, pero sus consecuencias son bastante fáciles de entender: un desconocido podría conseguir que un servidor vulnerable ejecutara sus órdenes sin tener que iniciar sesión.
¿Es motivo para dejar de navegar por Internet? No. ¿Es una emergencia para quienes administran páginas web? Sí, si todavía utilizan una versión vulnerable de PHP. Y la diferencia importa.
El problema está detrás de la página, no en tu pantalla
Cuando entras en una tienda online, lees una noticia o inicias sesión en una web, ves botones, textos y fotografías. Pero por detrás hay programas que reciben tu petición, consultan datos y preparan lo que aparece en pantalla. PHP es uno de los lenguajes que hacen ese trabajo invisible.
Muchísimas páginas construidas con WordPress, Drupal o Joomla dependen de PHP. Imagina un edificio: puedes haber cambiado la cerradura de tu piso, pero si el fallo está en una instalación común, tu cerradura no lo soluciona. Aquí ocurre algo parecido. Actualizar WordPress no basta si la versión de PHP del servidor sigue siendo vulnerable.
Esto no quiere decir que todas las webs que utilizan PHP hayan sido atacadas. Significa que un número enorme de servicios necesita comprobar si está expuesto.
¿Cómo puede alguien entrar sin contraseña?
Los dos fallos se conocen como CVE-2026-109618 y CVE-2026-109619. Son nombres poco amigables, pero sirven para identificar vulnerabilidades concretas. Ambos han recibido una puntuación de 9,2 sobre 10 en la escala de gravedad CVSS 4.0.
Sin entrar en detalles que solo interesarían a un programador, afectan a la forma en la que PHP gestiona parte de la memoria del servidor cuando atiende peticiones. Un atacante puede enviar peticiones especialmente preparadas para aprovechar ese error. En determinadas configuraciones, eso permite ejecutar código propio o acceder a información sensible de la memoria, incluso sin usuario ni contraseña. El aviso de seguridad del NHS británico confirma la gravedad y que ya existen demostraciones técnicas de estos ataques.
Piensa en alguien que no tiene llave de una tienda, pero descubre cómo dar instrucciones directamente al sistema que controla su almacén. No es una comparación perfecta, aunque sirve para entender que aquí el riesgo va mucho más allá de que una página muestre un mensaje de error.
Qué podría pasar si consiguen aprovecharlo
Depende del servidor y de los permisos que tenga PHP. Entre los posibles daños están el acceso a datos privados, la modificación de archivos, la instalación de programas maliciosos o el uso de esa máquina para atacar a otras. Que una web sea vulnerable no significa que ya hayan robado los datos de sus usuarios, pero el fallo puede abrir una puerta muy seria.
Check Point afirma en su nota de prensa que ha observado actividad relacionada con PHP2Shell que alcanza al 12 % de las organizaciones españolas según sus mediciones. Hay que leerlo con cuidado: es una cifra atribuida a su investigación, no una prueba de que ese porcentaje de empresas haya sufrido una intrusión con éxito. No conviene mezclar intentos de ataque con servidores comprometidos, especialmente cuando hablamos de seguridad.
Además, este incidente recuerda algo que ya hemos visto en el caso de las casi 2.000 webs WordPress utilizadas por una red criminal: una página aparentemente normal puede terminar formando parte de un problema mucho mayor sin que sus visitantes se den cuenta.
Si tienes una web, esto es lo que debes comprobar hoy
La buena noticia es que el 21 de octubre se publicaron versiones corregidas de PHP. Si administras un blog, una tienda online o una web corporativa, estos son los números que debes buscar:
- PHP 8.5: versión 8.5.12 o posterior.
- PHP 8.4: versión 8.4.27 o posterior.
- PHP 8.3: versión 8.3.36 o posterior.
- PHP 8.2: versión 8.2.35 o posterior.
Si utilizas PHP 8.1 o una rama anterior, ya no cuenta con actualizaciones oficiales del proyecto y necesitas consultar con tu proveedor cómo migrar o aplicar un parche específico de su distribución. Algunos alojamientos proporcionan correcciones adaptadas que no siempre cambian el número de versión visible.
¿No sabes dónde mirar? En WordPress puedes consultar la versión en Herramientas → Salud del sitio → Información → Servidor. También puedes escribir a tu empresa de hosting y preguntar directamente: «¿Mi servidor está protegido frente a CVE-2026-109618 y CVE-2026-109619?». Si gestiona PHP por ti, es quien debe confirmar la actualización.
Y si administras tu propio servidor, toca aplicar los parches, reiniciar los procesos afectados siguiendo las indicaciones técnicas y comprobar los registros por si hubiera actividad sospechosa. Un plugin de seguridad o un cortafuegos no sustituye al parche de PHP. Las recomendaciones oficiales están recogidas por el Centro Nacional de Ciberseguridad de Países Bajos.
¿Y si solo utilizas Internet?
Si lo tuyo es leer noticias, comprar online o utilizar aplicaciones, no necesitas instalar nada llamado PHP ni buscar una actualización en el móvil. El trabajo corresponde a quienes mantienen los servidores.
Eso sí, hay una lección que no deberíamos olvidar. Cuando hablamos de ciberseguridad pensamos en contraseñas, estafas por correo o archivos sospechosos. Pero gran parte de nuestra vida digital depende de programas invisibles que también necesitan mantenimiento. PHP2Shell es un recordatorio bastante contundente.
Las soluciones ya existen. Ahora lo importante es que lleguen a los servidores afectados antes que los atacantes.
Fuentes: NHS England, aviso PHP2Shell; NCSC de Países Bajos, seguimiento y mitigaciones; Broadcom, boletín técnico; nota de prensa de Check Point Research recibida por Hefestec el 22 de octubre de 2026.
