Vulnerabilidad de PHP: ¿afecta a su web WordPress y qué hacer?

En los últimos dos días, «PHP» ha estado en todas las noticias. En los Países Bajos, DigiD, el acceso de los ciudadanos a los servicios públicos, dejó de funcionar. En Finlandia se desconectaron algunas webs del gobierno por precaución. En EE. UU., el FBI y la NSA pidieron a las organizaciones que desconectaran sus servidores si no podían aplicar el parche. En Turquía, la Dirección de Ciberseguridad de la Presidencia inició un escaneo a nivel nacional.

En este artículo explicamos qué ha pasado sin abrumarle con detalles técnicos. Después vemos, paso a paso, cómo un operador de tours puede saber si su web está afectada, qué hacer hoy y cómo prepararse mejor para la próxima vez.

Primero, lo básico: ¿qué es PHP?

PHP es un lenguaje de programación que funciona detrás de muchas webs. Cuando alguien abre su sitio, el código que monta la página, convierte su formulario de contacto en un correo o guarda una reserva en la base de datos suele estar escrito en PHP.

Aunque nunca haya oído hablar de él, probablemente lo usa en algún sitio. WordPress, WooCommerce, Joomla, Drupal y muchos plugins de reservas funcionan con PHP. Según el FBI, alrededor del 70 % de las webs del mundo usan PHP.

¿Qué ha pasado?

El 20 y 21 de octubre de 2026, el equipo de PHP publicó actualizaciones de emergencia para dos fallos de seguridad críticos. Se identifican como CVE-2026-109618 y CVE-2026-109619 y, juntos, se conocen como «PHP2Shell». Ambos recibieron una puntuación de gravedad de 9,2 sobre 10.

Por qué es grave: en determinadas condiciones, estos fallos permiten a un atacante ejecutar el código que quiera en su servidor, a través de internet, sin usuario ni contraseña. En seguridad se llama ejecución remota de código (RCE). Dicho de forma sencilla: alguien puede entrar por su puerta sin necesitar la llave.

Según Qualys, uno de los fallos se produce cuando los datos quedan a medias porque el servidor se queda sin memoria, y el otro cuando, tras un error, la petición del siguiente visitante vuelve a leer memoria ya liberada. Los investigadores también demostraron que pueden filtrarse de la memoria del servidor datos como contraseñas, información de sesión y claves API.

La agencia Anadolu informa de que los fallos los encontró en agosto una empresa de seguridad llamada Calif con ayuda de la IA. Las correcciones se prepararon en silencio durante unos dos meses, pero la noticia se filtró a la prensa un día antes de que salieran los parches.

¿Por qué es algo tan grande?

• La escala es enorme: Palo Alto Networks detectó más de 22,6 millones de sistemas accesibles desde internet potencialmente vulnerables.
• Las versiones antiguas están por todas partes: según Qualys, el 71 % de las instalaciones de PHP con versión conocida usan versiones que ya no tienen soporte ni reciben parches habituales.
• Los ataques ya han empezado: Cloudflare informó de tráfico de ataque contra estos fallos, y ya circula código que puede usarse para explotarlos.
• Se parchea despacio: en las primeras 12 horas, solo unas 199.000 de los 167 millones de instalaciones que sigue Qualys se habían actualizado.

Por eso los gobiernos desconectaron webs. Hasta que un sistema está parcheado, lo más seguro es cerrar la puerta por la que podría entrar un atacante. En Turquía, la Dirección de Ciberseguridad envió avisos urgentes a las instituciones públicas e instó a las empresas privadas a revisar sus sistemas PHP. Según indicó, no se detectaron problemas que afectaran a los servicios de e-Devlet, el portal nacional de la administración.

¿Qué puede significar para un operador de tours?

Lo que un atacante puede hacer una vez dentro depende de lo que guarde su web. Los escenarios más probables:

• Filtración de datos de clientes: nombres, teléfonos, correos y datos de pasaporte de los formularios de reserva. Según dónde estén usted y sus clientes, normas como el RGPD pueden obligarle a notificarlo.
• Robo de contraseñas y claves: la contraseña de la base de datos y las claves API de su pasarela de pago, channel manager o servicio de correo.
• Contenido malicioso en su web: páginas de spam ocultas o código que redirige a los visitantes a otro sitio. Si Google lo detecta, su web puede mostrarse con una advertencia y meses de trabajo de SEO pueden resentirse.
• Su servidor usado para otras cosas: minería de criptomonedas, envío de spam o ataques a otras webs.
• Pérdida de ventas: si tiene que desconectar la web por precaución, no puede recibir reservas, ni siquiera en temporada alta.

¿Está afectada su web? Revise primero la versión

El primer paso es saber si su web funciona con PHP y con qué versión. En WordPress, vaya a Herramientas → Salud del sitio → Información → Servidor en el panel de administración. Su panel de hosting (cPanel, Plesk, etc.) también suele mostrarla bajo «Versión de PHP».

Estas son las versiones que corrigen los fallos:

• Con PHP 8.5: 8.5.12 o posterior
• Con PHP 8.4: 8.4.27 o posterior
• Con PHP 8.3: 8.3.36 o posterior
• Con PHP 8.2: 8.2.35 o posterior
• Con PHP 8.1 o anterior: no hay actualización oficial habitual. Salvo que su hosting haya aplicado un parche especial, debe pasar a una versión más reciente.

Una nota: algunas distribuciones de Linux publican la corrección manteniendo el número de versión antiguo. Así que un número más bajo no siempre significa que su web sea vulnerable. Por eso lo más fiable es preguntar directamente a su proveedor de hosting.

Qué hacer hoy

• Escriba a su hosting y pregunte: «¿Se ha actualizado el PHP de mi servidor contra PHP2Shell (CVE-2026-109618 y CVE-2026-109619)?». «Hemos añadido una regla de firewall» no basta por sí solo. Asegúrese de que se ha actualizado el propio PHP.
• Sepa que actualizar WordPress no lo soluciona: el fallo no está en WordPress, sino en el PHP que funciona por debajo. Las actualizaciones de plugins o temas, los plugins de seguridad y el modo mantenimiento no le protegen, porque el ataque puede ejecutarse antes de que WordPress cargue.
• Si tiene su propio servidor (VPS): actualice los paquetes de PHP y luego reinicie PHP-FPM o Apache. Un servidor que no se ha reiniciado sigue ejecutando el código antiguo y vulnerable. Con Docker, descargue la nueva imagen y vuelva a crear los contenedores.
• Si usa una versión antigua: haga una copia de seguridad completa fuera del servidor y pase a PHP 8.3 u 8.4. Después pruebe una por una la página de inicio, las páginas de tours, el formulario de contacto y los pasos de reserva.
• Si no puede parchear enseguida: poner la web detrás de un firewall como Cloudflare da algo de protección temporal. Si tiene un equipo técnico, puede aplicar los ajustes provisionales que recomienda PHP (por ejemplo, session.upload_progress.enabled=0). No son una solución completa, solo ganan tiempo.

¿Ha entrado ya alguien? Señales que revisar

Una vez aplicado el parche, conviene comprobar si alguien entró antes de que se cerrara el hueco:

• ¿Hay cuentas de administrador en WordPress que no reconoce?
• ¿Aparece algún plugin que usted no instaló?
• ¿Hay archivos .php en wp-content/uploads, la carpeta donde están sus imágenes? Ahí no debería haber archivos PHP.
• Al buscar site:sudominio.com en Google, ¿aparecen páginas que nunca escribió?
• ¿Hay algún aviso en «Problemas de seguridad» en Google Search Console?
• ¿Le ha enviado su hosting avisos de malware, spam o uso inusual de recursos?

Si ve alguna de estas señales, pida a su hosting que analice el servidor y restaure una copia limpia de antes de la actividad sospechosa. Después cambie todas las contraseñas y claves API: WordPress, hosting, base de datos, correo e integraciones de pago o de canales. Si pueden haberse filtrado datos de clientes, consulte con un asesor legal sus obligaciones.

Mirando al futuro: precauciones duraderas

PHP2Shell no será el último fallo. La verdadera pregunta es lo preparado que estará la próxima vez. Estos son los hábitos que recomendamos:

• Use una versión con soporte: el software sin soporte no recibe parches. Hoy, PHP 8.3 u 8.4 es una buena opción.
• Asigne a alguien las actualizaciones: ¿quién actualiza su web y con qué frecuencia? Debe haber una respuesta clara. Un hosting gestionado o un contrato de mantenimiento es una forma sencilla de dejarlo por escrito.
• Sepa qué tiene: su web principal, páginas de campañas antiguas, instalaciones de prueba, subdominios olvidados… Mantenga una lista con el servidor y la versión de cada uno. A los atacantes les encantan las webs olvidadas.
• Elimine lo que no necesite: borre plugins, temas y webs antiguas que no use. Cada pieza extra es otra puerta que un fallo puede abrir.
• Ponga su web detrás de un firewall: un servicio como Cloudflare es su primera línea de defensa cuando se anuncia un fallo nuevo, hasta que pueda parchear.
• Separe contraseñas y claves: no escriba claves API en el código, dé a cada servicio solo el acceso que necesita y cambie las claves con regularidad.
• Guarde las copias fuera del servidor y pruebe a restaurarlas: una copia que nunca ha restaurado es una copia que no sabe si funcionará.
• Vigile su web: la monitorización de disponibilidad, los avisos de Search Console y las alertas de cambios en archivos le permiten ver un problema antes que sus clientes.
• Escriba un plan de incidentes breve: decida de antemano a quién llamar, cómo desconectar la web temporalmente y cómo informar a los clientes si algo sale mal.

La visión general: los fallos se encuentran cada vez más rápido

Lo más llamativo de esta historia es que los fallos se encontraron con ayuda de la IA. Las mismas herramientas están al alcance de personas con malas intenciones. A partir de ahora, los fallos se encontrarán más rápido y también se explotarán más rápido.

Eso significa que se acabó el «ya actualizaremos cuando podamos». Para un operador de tours, la web ya no es solo un escaparate. Es una herramienta de negocio que recibe reservas y guarda datos de clientes, así que mantenerla segura forma parte de mantener el negocio en marcha.

En Monotim creamos webs sobre una base moderna que no se ve afectada directamente por este tipo de fallo en un lenguaje de servidor. Pero ninguna tecnología es segura para siempre. Lo que de verdad marca la diferencia es vigilar la web y poder actuar rápido cuando algo falla.

Si no está seguro de si PHP2Shell afecta a su web, o su hosting no le ha dado una respuesta clara, podemos revisarla juntos.