Si tienes una web, esto te interesa
El 21 de octubre de 2026, PHP publicó una actualización de emergencia para corregir dos fallas críticas que permiten a un extraño tomar el control de un servidor web. Si tu negocio tiene una página web, una tienda online o un blog, hay muchas probabilidades de que esto te afecte.
¿Qué es PHP? Es el «motor» invisible que hace funcionar millones de sitios web. Cuando entras a una tienda en WordPress o WooCommerce y ves tu carrito de compras, PHP está trabajando detrás. Tú no lo ves, pero está ahí, como el motor de un auto.
Los expertos bautizaron a estas fallas como PHP2Shell. El nombre suena técnico, pero la idea es simple: un atacante puede entrar a tu servidor sin usuario ni contraseña.
Las tres vulnerabilidades, explicadas sin tecnicismos
En total se anunciaron tres fallas. Las dos primeras tienen una nota de gravedad de 9.2 sobre 10: casi el máximo.
| Falla | Qué pasa, en palabras simples | Gravedad |
|---|---|---|
| CVE-2026-109618 | Cuando el servidor se queda sin memoria, PHP se interrumpe a medio camino y luego confunde datos incompletos con datos válidos. | Crítica (9.2) |
| CVE-2026-109619 | PHP deja «restos» de una visita anterior que la siguiente visita puede reutilizar por error. | Crítica (9.2) |
| CVE-2026-115560 | Anunciada el 23 de octubre. Solo afecta a webs configuradas de forma poco común. | Riesgo bajo según PHP |
Una analogía para la primera: imagina a un cajero de banco que se desmaya mientras llena un formulario. Al despertar, entrega el papel a medio llenar como si estuviera completo. Un delincuente puede aprovechar ese descuido.
Una analogía para la segunda: es como un hotel donde la camarera no limpia bien la habitación. El siguiente huésped encuentra la llave del anterior y la usa. En PHP, un atacante puede usar esos «restos» para ejecutar sus propias órdenes en el servidor.
¿Por qué tanto apuro? Porque los detalles se filtraron en redes sociales el 20 de octubre, antes de que existiera la solución. PHP tuvo que adelantar su anuncio.
¿A quién afecta y qué tan serio es?
Afecta a casi cualquier web hecha con PHP. Según Google Cloud, son vulnerables todas las versiones desde la 5.4 hasta la 8.5.11. La agencia de ciberseguridad de Estados Unidos, CISA, pidió actualizar de inmediato.
Esto incluye, por ejemplo:
- Blogs y páginas en WordPress
- Tiendas online en WooCommerce, Magento o PrestaShop
- Sistemas internos o intranets hechos a medida en PHP
¿Qué puede pasar si no actualizas? Un atacante podría robar los datos de tus clientes, instalar virus en tu web, desfigurar tu página o usar tu servidor para atacar a otros.
Y no es teoría. Según The Hacker News, Cloudflare vio millones de intentos de ataque en las horas siguientes al anuncio, y Amazon detectó un intento incluso días antes.
Qué hacer hoy mismo: 5 pasos
La solución es actualizar PHP. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicadas el 21 de octubre.
- Averigua qué versión de PHP usa tu web. Entra al panel de tu hosting (cPanel, Plesk o similar) y busca «Versión de PHP». En WordPress, ve a Herramientas → Salud del sitio → Información.
- Si usas hosting compartido, escribe a tu proveedor. Pregúntale si ya aplicó el parche. Muchos ya lo hicieron; por ejemplo, SiteGround lo aplicó en todos sus servidores.
- Si tienes tu propio servidor, actualiza ya. O pídeselo a tu proveedor de TI. Si usas Linux, instala las actualizaciones de tu distribución apenas salgan.
- Si tu versión es muy antigua (7.x o 5.x), planifica migrar. Es posible que no reciba corrección oficial. Es momento de modernizar.
- Para la tercera falla, pide a tu técnico un ajuste temporal. PHP recomienda desactivar la opción
session.upload_progress.enabledhasta la próxima actualización, según CERT-EU.
Consejo extra: haz una copia de seguridad de tu web antes de cualquier cambio. Es tu seguro de vida digital.
La lección para todo emprendedor
Tu web es tu local abierto las 24 horas: actualizarla es tan importante como ponerle buena chapa a la puerta. Estas fallas nos recuerdan que la seguridad no es un gasto, es parte del negocio.
Si no sabes por dónde empezar, haz una sola cosa hoy: pregúntale a tu hosting o a tu técnico si ya actualizó PHP. Ese mensaje de un minuto puede salvar tu negocio.
¿Tienes dudas? Déjalas en los comentarios. #TeLoDigoElBuga
Dejar una contestacion