Vulnerabilidad de PHP: qué revisar si tu web usa WordPress

Qué ha pasado con PHP

Los dos fallos, registrados como CVE-2026-109618 y CVE-2026-109619 y bautizados como PHP2Shell, permiten ejecutar código de forma remota sin autenticarse, según el aviso de la CISA, la agencia de ciberseguridad de Estados Unidos. Afectan a toda instalación de PHP que sirve páginas web, y la CISA los añadió el 26 de octubre a su catálogo de vulnerabilidades que ya se están aprovechando.

Lo que hace distinta esta noticia es el papel de la inteligencia artificial. Los investigadores de Wiz cuentan que usaron modelos de IA como Gemini, de Google, entre otras herramientas, para encontrar los fallos, adaptar el ataque a distintas versiones y comprobar el parche, y que demostraron el ataque contra las últimas versiones de WordPress, Drupal y Joomla. Según su relato, un solo investigador hizo en una semana lo que antes le habría llevado meses a un equipo de primer nivel.

• Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según la CISA.
• Versiones sin soporte: PHP 8.1 y anteriores ya no reciben actualizaciones oficiales; para 7.4, 8.0 y 8.1 hay correcciones mínimas para quien compila PHP por su cuenta, según Help Net Security.
• Ataques: Amazon detectó un intento de aprovechar el fallo el 17 de octubre, cuatro días antes de que se hiciera público, recoge Help Net Security.
• Alcance: Wiz afirma que PHP mueve el 70 % de las webs del mundo, una cifra que da sin citar de dónde sale.

Una academia que no sabía que usaba PHP

Imagina que Rocío dirige una academia de clases de repaso con dos profesoras. Su web se hizo hace unos años: horarios, un formulario de matrícula y el pago de las cuotas. Funciona, las familias la usan, y el alojamiento se renueva solo cada año con la tarjeta de la academia.

Un martes, entre clase y clase, una amiga le reenvía una noticia sobre un fallo grave en PHP. Rocío la lee dos veces. No sabe si su web usa PHP, no recuerda la contraseña del panel del alojamiento y no tiene claro a quién llamar. Lo único que sabe es que en ese formulario hay nombres, teléfonos y datos de pago de familias que confían en ella.

¿Por qué tantas webs se quedan sin actualizar?

La escena es inventada, pero se parece a muchas que vemos. Una web se encarga, se entrega y se celebra. Después pasa a ser como el router de la oficina: está ahí, funciona y nadie lo mira hasta que falla.

El problema es que debajo de cada web hay piezas que envejecen aunque nadie toque nada: el lenguaje PHP, el gestor de contenidos, las extensiones. La propia CISA recuerda que PHP va a menudo dentro de otro software y no siempre es fácil saber que está ahí. Si en el contrato no pone quién actualiza esas piezas, lo normal es que no lo haga nadie.

¿Qué se juega un negocio con la web sin parchear?

Hasta ahora, entre que se descubría un fallo y alguien lo aprovechaba solía pasar un tiempo. Con la IA, ese margen se estrecha por los dos lados: los mismos modelos que ayudan a encontrar un fallo ayudan a preparar el ataque. En este caso, el primer intento conocido llegó antes que el aviso público.

Para una empresa pequeña, el riesgo no es abstracto. Wiz demostró que el fallo también permitía leer la memoria del servidor, que puede contener contraseñas y claves. Una web comprometida puede significar datos de clientes expuestos, días sin poder cobrar online y explicaciones difíciles a quien te confió su información.

¿Qué hago si mi web tiene la vulnerabilidad de PHP?

No hace falta saber programar para dar los primeros pasos. Estos son los que haríamos con cualquier cliente:

• Pregunta hoy a tu proveedor de alojamiento, por escrito, qué versión de PHP usa tu web y si ya tiene el parche del 21 de octubre.
• Si la respuesta es PHP 8.1 o anterior, pide un plan para subir de versión: ya no tiene soporte, y la CISA recomienda desconectar los sistemas que no se puedan actualizar de inmediato.
• Si tu web está detrás de Cloudflare, ten en cuenta que ha activado reglas de protección para todos sus clientes, según Help Net Security; son una ayuda temporal, no sustituyen a la actualización.
• Si tu web ha estado expuesta, plantéate cambiar las contraseñas y claves que guarda, como las de la pasarela de pago o el correo.
• Deja por escrito quién actualiza la web, cada cuánto y cómo te avisa cuando sale un parche urgente.

El último punto es el que más se olvida y el que más pesa la próxima vez. Este no será el último fallo grave que encuentre la IA, y la diferencia entre un susto y un problema suele estar en cuánto se tarda en reaccionar.

Cómo te ayudamos desde digizone

En digizone revisamos con cada negocio qué software usa de verdad, de qué piezas depende y quién se ocupa de cada una. Desde nuestra consultoría tecnológica te ayudamos a ordenar ese mapa, a priorizar lo urgente y a decidir qué conviene mantener, actualizar o rehacer.

Cuando construimos algo, la seguridad va en el diseño desde el principio. En Granittor desarrollamos una plataforma de clientes con acceso por contraseña o por llave de acceso con Face ID y Touch ID, y con seguridad a nivel de fila en todas las tablas para que cada usuario vea solo lo que le corresponde.

Empieza por saber quién cuida tu web

No hace falta un gran plan de ciberseguridad para empezar. En la academia de Rocío, la primera versión sería una sola página: qué versión de PHP tiene la web, quién la actualiza, dónde están las copias de seguridad y a quién se llama si algo falla. Así, cuando llegue el próximo aviso, Rocío tendrá a mano la versión y el teléfono de quien tiene que actualizarla.

Si quieres ver cómo se haría en tu caso, en nuestro taller gratuito lo contamos paso a paso.