¿Tu web tiene más de 5 años? El fallo crítico de PHP que la deja sin protección

Qué ha pasado

PHP es el lenguaje con el que funcionan la mayoría de las webs de empresa: WordPress, PrestaShop, Joomla y muchas webs hechas a medida. El 21 de octubre de 2026 el equipo de PHP publicó dos fallos de seguridad en el propio núcleo del lenguaje, conocidos como PHP2Shell (CVE-2026-109618 y CVE-2026-109619).

El INCIBE-CERT, el centro de respuesta a incidentes de ciberseguridad de España, les ha dado la importancia máxima: 5 sobre 5, crítica, con una puntuación de 9,2 sobre 10.

Lo grave es cómo se explotan: basta una petición a la web, sin usuario ni contraseña, para ejecutar código en el servidor. Da igual que tu WordPress tenga los plugins al día si el PHP que hay debajo es vulnerable.

• Se han detectado ataques reales contra servidores PHP antes incluso de que salieran las correcciones.
• La agencia de ciberseguridad de Estados Unidos (CISA) ha pedido parchear de inmediato.
• Ya circula una herramienta pública que comprueba si un servidor está expuesto. La usan los administradores, y también los atacantes.

A quién afecta

A cualquier servidor que use PHP para servir páginas web, con las configuraciones habituales del mercado (PHP-FPM, Apache con mod_php, php-cgi, LiteSpeed y FrankenPHP). Según INCIBE, el riesgo es mayor con Apache y mod_php, muy común en servidores antiguos.

7 señales de que tu web es de las expuestas

Los hostings grandes están actualizando PHP en sus servidores estos días. El problema son las webs que no se pueden subir de versión sin romperse, y suelen cumplir varias de estas señales:

1. Se hizo hace más de 5 años y desde entonces nadie la ha tocado por dentro.
2. El escritorio de WordPress te avisa de que tu versión de PHP está desactualizada o te recomienda actualizarla.
3. Te da miedo actualizar los plugins o la plantilla "por si se rompe".
4. La plantilla o algún plugin importante ya no tiene actualizaciones de su autor.
5. No hay nadie encargado de mantenerla: la hizo un freelance o una agencia con la que ya no trabajas.
6. No sabes quién tiene las claves del hosting o del dominio.
7. En el móvil se ve mal o va lenta. No es un fallo de seguridad, pero casi siempre indica una web que nadie ha actualizado.

Si cumples dos o más, es muy probable que tu web funcione con un PHP antiguo, y con PHP2Shell eso pasa de riesgo teórico a fallo crítico sin parche oficial.

Qué pasa si atacan tu web

Una web comprometida no es solo una web caída. Desde ella se puede:

• Robar los datos de los formularios y de los clientes. Si hay datos personales, tienes 72 horas para notificarlo a la AEPD.
• Enviar spam o fraude desde tu dominio, con lo que tus correos legítimos acaban en la carpeta de spam de tus clientes.
• Hundir tu posicionamiento: los enlaces o redirecciones inyectados hacen que Google marque la web como peligrosa y la saque de los resultados.
• Saltar a otros sistemas si la web comparte servidor con el correo, la intranet o el programa de gestión.

Cómo saber qué versión de PHP usa tu web

1. Si es WordPress: en el escritorio, Herramientas > Salud del sitio > Información > Servidor. Ahí aparece la versión de PHP.
2. En el panel del hosting (OVH, cPanel, Plesk, etc.): suele haber un apartado "Versión de PHP" o "Configuración PHP" por cada web.
3. Preguntando a quien te lleva la web o al hosting. Pide por escrito la versión exacta y si ya tienen aplicada la corrección de PHP2Shell.

Si la respuesta es 8.1, 8.0, 7.x o "no lo sé", trátalo como urgente.

¿Arreglarla o hacerla nueva?

Muchas veces, remendar una web de hace 6 u 8 años para que funcione en un PHP moderno cuesta casi lo mismo que hacerla nueva, y la web sigue siendo vieja. En la auditoría te decimos con números qué opción te sale a cuenta.

Qué hacer esta semana

1. Averigua la versión de PHP con los pasos de arriba.
2. Si es 8.2 o superior: confirma con tu hosting que ya está en la versión corregida.
3. Si es 8.1 o anterior: haz una copia de seguridad completa (archivos y base de datos) y plantea ya la migración. Mientras tanto, un cortafuegos web (WAF) como el de Cloudflare, que ya ha publicado reglas para este fallo, reduce el riesgo pero no lo elimina. INCIBE recoge además medidas temporales de configuración de PHP que puede aplicar tu hosting o tu técnico, y recomienda aislar de Internet la web que no se pueda actualizar hasta corregirla.
4. Revisa quién mantiene la web. Si nadie se encarga de actualizarla, este fallo no será el último.

Una web sin mantenimiento no es una web que funciona: es una web que todavía no ha fallado.

Preguntas frecuentes

¿Mi web está afectada si uso WordPress actualizado?

Puede estarlo. El fallo está en PHP, no en WordPress. Un WordPress al día sobre un PHP sin corregir sigue siendo vulnerable.

¿Mi hosting ya lo habrá arreglado?

Los grandes proveedores están actualizando sus servidores, pero si tu web está fijada en PHP 8.1 o anterior, el proveedor no puede darte una versión oficial corregida. Pregúntalo por escrito.

¿Basta con poner Cloudflare o un cortafuegos?

Ayuda, pero no sustituye la actualización. Las reglas de un cortafuegos cubren las formas de ataque conocidas; las variantes nuevas pueden saltárselas.

¿Me afecta si mi web es solo informativa, sin tienda?

Sí. Al atacante no le hace falta una tienda ni un formulario: le basta con que la web use PHP. Una web informativa comprometida sirve igual para enviar spam o fraude desde tu dominio.

¿Cuánto cuesta rehacer una web antigua?

Con nosotros, una landing parte de 1.200 € y una web corporativa de 2.400 €, en pago único y con 12 meses de mantenimiento incluidos. El precio final se cierra por escrito tras la auditoría.

¿Dónde está el aviso oficial?

En la web del INCIBE-CERT: Múltiples vulnerabilidades en PHP (INCIBE-2026-762).