En los últimos días, se ha alertado a diversos sectores, incluidos comercios con tienda online, ayuntamientos, asociaciones y academias, sobre un fallo de seguridad crítico en PHP, el lenguaje de programación utilizado por casi el 70% de las páginas web. Este fallo, conocido como PHP2Shell, permite a un atacante tomar control de una web sin necesidad de una contraseña. La solución a este problema fue publicada el 21 de octubre de 2026, pero la responsabilidad de implementarla recae en cada propietario de web o su proveedor de alojamiento. Para los usuarios que navegan por Internet, no es necesario instalar nada en sus dispositivos.
El fallo PHP2Shell se produce en el propio sistema PHP, lo que significa que incluso las páginas bien diseñadas con WordPress pueden estar en riesgo si el servidor que las alberga utiliza una versión vulnerable del lenguaje. Investigadores de diversas empresas, como Wiz, OpenAI y Calif, han demostrado que pueden acceder a webs construidas con plataformas como WordPress, Drupal y Joomla sin conocer las credenciales de acceso. Según estimaciones, hay más de 5,1 millones de servidores con PHP accesibles a través de Internet.
Ante este escenario, es crucial que quienes gestionan una web tomen medidas inmediatas. Se les aconseja contactar a su proveedor de alojamiento para confirmar si PHP ya ha sido actualizado. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Además, se debe comprobar si se está utilizando PHP 7 o PHP 5, ya que no hay actualizaciones oficiales para estas versiones; se recomienda migrar a una versión más reciente. También es fundamental realizar una copia de seguridad de la web antes de realizar cualquier cambio.
Para aquellos que solo navegan por Internet, no hay acciones que tomar en sus dispositivos. No obstante, es importante estar alerta sobre webs que puedan no haberse actualizado, lo que podría poner en riesgo sus datos personales. Se recomienda el uso de contraseñas únicas para cada servicio y activar la verificación en dos pasos en las cuentas más importantes.
La inquietud por este problema de seguridad también ha llevado a varios gobiernos europeos, incluidos los de Países Bajos, Finlandia, Dinamarca, Francia, Alemania y Bélgica, a desconectar temporalmente algunas páginas oficiales mientras se implementaban las correcciones necesarias.
Para más información o asistencia sobre ciberseguridad, el Instituto Nacional de Ciberseguridad (INCIBE) ofrece soporte gratuito y confidencial a través del teléfono 017. Asimismo, los interesados pueden consultar recursos adicionales sobre las acción recomendadas ante el fallo PHP2Shell.
En conclusión, la vulnerabilidad detectada en PHP subraya la importancia de mantener actualizadas las tecnologías empleadas en la construcción de sitios web. La seguridad en línea es una responsabilidad compartida que requiere atención constante tanto por parte de los administradores de páginas web como de los usuarios.
