Comercios con tienda online, ayuntamientos, asociaciones, academias y cualquiera que tenga una página web deben comprobar estos días que su web está al día: un fallo de seguridad en PHP, el sistema con el que funcionan casi 7 de cada 10 webs, permitía a un atacante hacerse con el control de una página sin ninguna contraseña. La corrección se publicó el 21/10/2026, pero cada web tiene que aplicarla. Para quien solo navega por Internet, el fallo no exige instalar nada en el móvil ni en el ordenador.
Las claves del fallo de PHP que afecta a millones de webs en 30 segundos
- El fallo, llamado PHP2Shell, está en PHP, la tecnología que hace funcionar la mayoría de las webs, entre ellas las de WordPress.
- Un atacante podía entrar en una web desde Internet sin usuario ni contraseña.
- La solución salió el 21/10/2026 y la debe aplicar el proveedor de alojamiento o quien gestiona la web.
- Varios gobiernos europeos apagaron webs públicas por precaución.
- Los usuarios no tienen que actualizar su móvil ni su ordenador.
El Instituto Nacional de Ciberseguridad (INCIBE), a través de su equipo INCIBE-CERT, publicó un aviso de importancia crítica, el nivel máximo. La alarma creció porque la noticia del fallo se filtró el día antes de que existiera el arreglo, y empresas de seguridad como Cloudflare, Patchstack y watchTowr detectaron intentos de aprovecharlo desde entonces.
Un problema en el motor de la mayoría de las páginas web
PHP es un lenguaje de programación que trabaja en los servidores, los ordenadores donde se guardan las páginas web. Cada vez que alguien abre una web hecha con PHP, el servidor prepara la página en ese momento y se la envía. Según W3Techs, PHP se usa en el 69,3 % de las webs cuyo sistema se puede identificar, y sobre él funcionan programas tan extendidos como WordPress, con el que se hacen muchas webs de negocios, asociaciones y medios.
Lo que hace especial a PHP2Shell es que el fallo estaba en PHP, no en una web concreta. Una página bien diseñada y con WordPress al día podía estar igual de expuesta si su servidor tenía una versión vulnerable de PHP. Los investigadores que lo descubrieron, de las empresas Wiz, OpenAI y Calif, comprobaron que podían tomar el control de webs con WordPress, Drupal y Joomla sin conocer ninguna contraseña. Según los datos que recoge BleepingComputer, hay más de 5,1 millones de servidores con PHP accesibles desde Internet.
Qué tiene que hacer quien tiene una web
Para un pequeño negocio, un ayuntamiento o una asociación, lo importante es no dar por hecho que alguien ya se ha ocupado. Estos son los pasos básicos:
- Llamar o escribir a la empresa de alojamiento (el hosting) y preguntar si ya ha actualizado PHP. En la mayoría de los alojamientos es ella quien lo hace.
- Si una empresa o un informático mantiene la web, pedirle que confirme la versión de PHP. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
- Si la web usa PHP 7 o PHP 5, que siguen funcionando en muchas páginas antiguas, saber que no tienen una actualización oficial nueva y que lo recomendable es pasar a una versión moderna.
- En una web con WordPress, la versión de PHP aparece en Herramientas, Salud del sitio, Información, Servidor.
- Tener una copia de seguridad reciente de la web antes de hacer cambios.
Quien quiera más detalle puede consultar en WPDirecto qué supone el fallo para las webs con WordPress, o en OpenSecurity cómo se filtró antes de tener el parche. Revista Cloud ha reunido qué sistemas y paneles de alojamiento ya tienen la corrección.
Y quien solo navega por Internet, ¿qué debe hacer?
Nada en su móvil ni en su ordenador, porque el fallo afecta a los servidores, no a los dispositivos de los usuarios. El riesgo para los internautas es que una web donde tienen cuenta no se actualice y alguien acceda a los datos que guarda. Por eso conviene usar una contraseña distinta en cada sitio, activar la verificación en dos pasos en las cuentas importantes y desconfiar de mensajes que aprovechen esta noticia para pedir datos o que se pulse un enlace. Para cualquier duda, INCIBE atiende de forma gratuita y confidencial en el teléfono 017.
La preocupación llegó también a las administraciones. Países Bajos, Finlandia, Dinamarca, Francia, Alemania y Bélgica desconectaron temporalmente algunas webs oficiales mientras se aplicaba el arreglo, según informaron medios internacionales.
Preguntas frecuentes
¿Qué es el fallo PHP2Shell?
Son dos fallos de seguridad graves en PHP, la tecnología con la que funcionan la mayoría de las webs, que permitían a un atacante controlar una página sin contraseña.
¿Cómo sé si mi web está protegida?
Preguntando a la empresa de alojamiento o a quien mantiene la web si usa PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, las versiones corregidas.
¿Tengo que hacer algo en mi móvil?
No. El fallo está en los servidores de las webs, no en los móviles ni en los ordenadores de los usuarios.
¿Dónde pedir ayuda sobre ciberseguridad?
El teléfono 017 de INCIBE atiende gratis y de forma confidencial a ciudadanos, empresas y profesionales.
Fuentes:
- INCIBE-CERT: Múltiples vulnerabilidades en PHP
- PHP: aviso de seguridad del 21/10/2026
- PHP2Shell (Wiz Research, OpenAI Codex Security y Calif)
- W3Techs: uso de PHP en sitios web
- Safeguard: gobiernos que desconectaron webs el 21 de octubre
- BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws
- OpenSecurity: PHP corrige dos fallos críticos que se filtraron antes del parche
- WPDirecto: fallos críticos en PHP, qué suponen para WordPress
- Revista Cloud: PHP2Shell, qué distribuciones y paneles ya han parcheado PHP
