PHP2Shell: el fallo que obligó a apagar páginas web en medio mundo
Qué pasó, por qué importa aunque no seas informático y qué puedes hacer.
Esta semana, varios gobiernos europeos desconectaron sus páginas web por precaución. No fue un apagón ni un ciberataque masivo confirmado. Fue el anuncio de un fallo de seguridad en PHP, un lenguaje de programación que pocos conocen por nombre y que casi todos usamos a diario sin saberlo.
¿Qué es PHP y por qué todo el mundo habla de él?
PHP es una herramienta que funciona “detrás del telón” de muchas páginas web. Cuando entras a un blog, una tienda en línea o el portal de una entidad pública, es probable que PHP esté armando esa página en el servidor. Lo usa casi el 70 % de los sitios web cuyo lenguaje de servidor se conoce. CNBC
Por eso un problema en PHP no afecta a una sola empresa. Afecta a una parte enorme de Internet. No es un fallo de un plugin o de una aplicación concreta: está en el propio lenguaje. gulfbusiness
¿Qué se descubrió?
Se trata de dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, y apodadas PHP2Shell. Podrían permitir que un atacante ejecute código malicioso en un servidor y tome el control de la página. Es como si alguien pudiera dar órdenes desde fuera al computador que aloja el sitio. cybersecuritydive
La historia, según se ha reportado:
- La empresa de seguridad Wiz encontró los fallos y avisó al equipo de PHP, que los confirmó a finales de septiembre y empezó a corregirlos discretamente. theconversation
- Tras una filtración, los desarrolladores lo confirmaron públicamente el 21 de octubre y lanzaron parches de emergencia antes de lo previsto. theconversation
- La Agencia de Seguridad Nacional de EE. UU. (NSA) pidió a las organizaciones aplicar los parches de inmediato o poner sus servidores fuera de línea. CNBC
¿”Medio Internet” en peligro? Con matices
Los titulares hablan de millones de sitios, y las cifras varían. Una fuente habla de más de 22 millones de sitios expuestos. Otra recoge la estimación de un investigador de que más de 1,3 millones son realmente vulnerables, porque no todas las configuraciones lo son. gulfbusinesscybersecuritydive
Lo honesto es decir esto: casi todo Internet usa PHP, pero no todos los sitios son igual de vulnerables. Aun así, el riesgo es serio, sobre todo para quienes no actualizan.
¿Por qué cuesta tanto arreglarlo?
Parchear no es instantáneo. PHP está debajo de miles de plugins, frameworks y servicios de alojamiento, y un sitio solo queda seguro cuando cada capa aplica la corrección. Además, muchas organizaciones usan versiones tan viejas que ya no reciben actualizaciones y no podrán simplemente instalar el parche. theconversationcybersecuritydive
¿Y yo qué hago?
Si eres usuario común: no tienes nada que instalar en tu computador o celular, porque el problema está en los servidores. Lo sensato es:
- Estar atento a avisos de los servicios que usas, y cambiar tu contraseña si alguno informa de un incidente.
- Usar contraseñas distintas para cada servicio y activar la verificación en dos pasos.
Si tienes un sitio web, blog o tienda:
- Escríbele a tu proveedor de hosting y pregunta si ya aplicó la actualización.
- Si administras tú el servidor, actualiza a una versión corregida: PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. gulfbusiness
- Si usas una versión muy antigua sin soporte, es buen momento de planear la migración.
La lección de fondo
PHP2Shell recuerda que Internet descansa sobre piezas que casi nadie ve y que envejecen sin que nadie se ocupe de ellas. La mejor defensa sigue siendo aburrida pero efectiva: mantener todo actualizado y saber qué tecnología hay detrás de lo que publicamos.