Gobiernos y empresas apagaron sitios web por una falla en una pieza que casi nadie conoce. Te explicamos qué ocurrió, por qué importa aunque no sepas de tecnología y qué conviene preguntar a quien mantiene tu sitio. 

¿Qué es PHP2Shell y qué debes hacer?

PHP2Shell es el nombre dado a dos fallas críticas en PHP, el lenguaje que funciona en el servidor de gran parte de los sitios web. Ambas reciben 9,2 sobre 10 en gravedad y podrían permitir que un atacante ejecute órdenes en un servidor sin contraseña. Si solo navegas, no necesitas instalar nada. Si tienes un sitio, confirma por escrito con tu proveedor de hosting o desarrollador que PHP se actualizó a una versión corregida: 8.2.35, 8.3.36, 8.4.27 u 8.5.12. No existe una medida provisional completa, así que actualizar es la única opción realmente segura.

Lo esencial en tres puntos

• Se publicaron actualizaciones de emergencia de PHP para dos fallas críticas que podrían permitir tomar el control de un servidor.
• Quien solo navega no debe instalar nada. Quien tiene un sitio web debe confirmar que PHP fue actualizado.
• Un sitio desconectado no prueba que lo hayan atacado: en la mayoría de los casos fue una medida preventiva.

¿Qué ocurrió con la falla de PHP?

El miércoles 21 de octubre de 2026 se hizo pública una falla grave en PHP, una tecnología que trabaja en silencio detrás de gran parte de internet. El equipo del proyecto publicó parches de seguridad para dos vulnerabilidades críticas. Según el aviso oficial de PHP, ambas permiten ejecutar código en un servidor sin iniciar sesión.

Dicho sin tecnicismos: alguien con malas intenciones podría dar órdenes a distancia a un servidor vulnerable, sin cuenta ni contraseña, para robar información, alterar páginas o tomar el control del sistema.

Los detalles se filtraron en línea el 20 de octubre, antes de la fecha prevista, y PHP adelantó la publicación de las correcciones. Por eso varios sitios se apagaron antes de que el parche estuviera disponible.

La alerta fue tan seria que agencias y gobiernos de la Unión Europea, Estados Unidos, Reino Unido y Japón pidieron actualizar de inmediato. Organismos como la NSA estadounidense y el CERT-EU recomendaron desconectar temporalmente los sitios que no pudieran actualizarse. Así, sitios de gobiernos de Alemania, Finlandia y Países Bajos quedaron fuera de línea, y Wikimedia desactivó varios sistemas. Fue una medida preventiva, parecida a cerrar un edificio mientras se repara una cañería en mal estado.

Qué es PHP y por qué debería importarte

PHP es un lenguaje de programación que se ejecuta en el servidor, el computador remoto donde vive un sitio web. Cuando entras a una página, suele ser quien reúne textos, usuarios o productos y los prepara para que los veas. Según W3Techs, se usa en cerca del 70% de los sitios cuyo lenguaje de servidor se puede identificar. WordPress, Drupal, Joomla y Magento funcionan sobre PHP.

Piensa en tu sitio como un edificio de oficinas. Lo que ves (textos, imágenes, diseño) son los muebles. El gestor de contenidos, como WordPress, es la distribución de las oficinas. PHP es la instalación eléctrica y sanitaria. El servidor y el hosting son el terreno y la construcción.

Actualizar WordPress, sus plugins o sus temas no actualiza PHP. Eso se hace en el servidor y, muchas veces, lo gestiona tu proveedor de hosting. Puedes tener los muebles impecables y que el problema esté en las tuberías. Esto se suma a otro tema de fondo: el valor de la presencia digital como activo de reputación depende de que el sitio esté disponible y seguro.

Cómo se descubrió: la inteligencia artificial entra en la auditoría

La falla la encontraron, en parte, herramientas de inteligencia artificial. Según las propias empresas, Calif la halló durante una auditoría del código de PHP, con ayuda de un modelo de OpenAI. De forma independiente, Wiz, empresa de seguridad en la nube, encontró las dos fallas. Ambos avisaron a PHP en agosto y la información se mantuvo reservada hasta que se filtró.

Las fallas llevaban más de una década en el código. El software moderno es tan complejo que algunos errores pasan años sin detectarse. Lo que cambió es la capacidad de encontrarlos, y esa capacidad sirve tanto a quienes defienden un sistema como a quienes quieren atacarlo. Es el mismo dilema de control que planteamos al analizar la cancelación de GPT-6.1 Astra por problemas de seguridad, y por qué conviene definir qué hacer antes de automatizar procesos con IA.

¿Hubo ataques por la vulnerabilidad de PHP?

Hubo intentos. Empresas como Cloudflare y watchTowr detectaron los primeros intentos de explotación, incluso antes del parche. Sin embargo, hasta el jueves el director de tecnología del Centro Nacional de Ciberseguridad del Reino Unido dijo a la BBC que no había indicios de que atacantes hubieran aprovechado las fallas.

Conviene separar tres cosas: que un sitio use PHP, que esté expuesto a la falla y que haya sido atacado. No es que el 70% de internet esté comprometido. Aun así, es probable que haya más intentos en las próximas semanas. Según Lloyd Davies, de Infrawatch, citado por la BBC, 24 horas después de las alertas solo un 4,39% de los servicios con PHP estaba corregido. Actualizar toma tiempo, y los sitios con poco mantenimiento son los más vulnerables.

¿Qué pasa si solo navegas?

No necesitas instalar nada en tu computador o celular, porque PHP se ejecuta en el servidor. Si un servicio no carga estos días, puede deberse a una desconexión preventiva. Conviene estar atento:

• Si un servicio te pide cambiar tu contraseña por un problema de seguridad, hazlo entrando directamente a su sitio oficial, no desde un enlace recibido por correo.
• Cualquier mensaje que te pida instalar un “parche de PHP” es sospechoso: quien solo navega no necesita ninguno.
• Estos episodios se aprovechan para campañas de phishing, mensajes que se hacen pasar por empresas para obtener datos o dinero.

Si te interesa entender mejor cómo la tecnología cambia decisiones cotidianas, mira también cómo una sentencia con apoyo de IA abrió el debate sobre qué delegar.

Si tienes un sitio web: cuatro preguntas para tu proveedor

Hazle estas preguntas a quien mantiene tu sitio:

1. ¿Quién mantiene PHP actualizado? Puede ser tu proveedor de hosting, un desarrollador o tu equipo interno.
2. ¿Qué versión de PHP usa mi sitio? En muchos paneles de hosting aparece en un apartado llamado “PHP”.
3. ¿Ya recibió la corrección? Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Algunos proveedores aplican la corrección sin cambiar el número de versión, así que pide confirmación por escrito y que hayan reiniciado los servicios.
4. ¿Qué pasa si uso PHP 8.1 o anterior? Esas versiones ya no reciben lanzamientos oficiales, así que conviene planificar una migración. PHP 8.2 también dejará de recibir soporte el 31 de diciembre de 2026.

PHP fue claro: no existe una medida provisional completa. Actualizar es la única opción realmente segura.

Qué hacer ahora

Las actualizaciones ya están disponibles, así que la prioridad es aplicarlas. Si administras un sitio, confirma con tu proveedor que PHP quedó corregido y guarda esa confirmación. Si solo navegas, basta con desconfiar de mensajes que pidan datos o instalar “parches”. Como los detalles técnicos ya son públicos, conviene seguir revisando en las próximas semanas que PHP se mantenga al día.

Si quieres prepararte mejor para estos episodios, revisa los contenidos de Academia Digital, donde explicamos tecnología y marketing sin tecnicismos. Para seguir lo que pasa en el mundo tech, visita nuestra sección Geek o vuelve a la portada de Agencia Digital.

Preguntas frecuentes sobre la falla de PHP

¿Qué es PHP2Shell?

Es el nombre con el que se conocen dos vulnerabilidades críticas de PHP. Permiten ejecutar código en un servidor sin iniciar sesión, por lo que un atacante podría tomar el control de un sitio vulnerable.

¿Mi sitio en WordPress está en riesgo?

WordPress funciona sobre PHP, así que puede estar expuesto si el servidor usa una versión sin corregir. Actualizar WordPress o sus plugins no resuelve el problema: hay que actualizar PHP en el servidor.

¿Cómo sé qué versión de PHP uso?

Revisa el panel de tu hosting, donde suele haber un apartado llamado “PHP”. Si no lo encuentras, pregunta a tu proveedor o desarrollador.

¿Qué versiones de PHP ya incluyen la corrección?

PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones 8.1 y anteriores ya no reciben lanzamientos oficiales, y PHP 8.2 dejará de tener soporte el 31 de diciembre de 2026.

Si mi sitio estuvo caído, ¿me atacaron?

No necesariamente. En la mayoría de los casos las desconexiones fueron una medida preventiva mientras se aplicaban las actualizaciones.