Portales del Gobierno de Países Bajos con cartel de mantenimiento. Webs oficiales retiradas en Alemania, Finlandia, Dinamarca o la República Checa. Prefecturas francesas y ministerios belgas cerrando por precaución. No es una película: es lo que ha pasado esta semana por PHP2Shell, el fallo de seguridad más sonado del año en internet.
Y aunque suene a cosa de informáticos, te toca de cerca si tienes una web. Sobre todo si es un WordPress, como la de la mayoría de bares, tiendas, clínicas y autónomos de la Región.
¿Qué ha pasado?
PHP es el lenguaje con el que funcionan cerca del 70% de las webs del mundo, WordPress incluido. Se han descubierto dos fallos críticos en su motor (con nombres de robot: CVE-2026-109618 y CVE-2026-109619), con una nota de gravedad de 9,2 sobre 10.
Lo grave es que un atacante podría colarse en un servidor sin usuario ni contraseña, con una simple petición preparada, y antes incluso de que la web haga nada. Cloudflare asegura que ya ha detectado intentos de ataque.
El detalle que da más vértigo: según la información publicada, el fallo lo encontró una empresa de seguridad estadounidense usando inteligencia artificial para revisar el código de PHP. El agujero llevaba años ahí sin que nadie lo viera.
¿Y en España?
Los grandes portales de los ministerios no se han apagado. Sí ha habido desconexiones nocturnas y ventanas de mantenimiento en administraciones locales, universidades y centros de investigación para aplicar el parche. El CCN-CERT, que vela por la ciberseguridad de las administraciones, lanzó una alerta pidiendo actualizar con urgencia o desconectar lo que no sea imprescindible. El INCIBE también recomendó actualizar ya.
PHP publicó las versiones corregidas el 21 de octubre: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones 8.1 y anteriores ya no reciben parches oficiales.
¿Y a ti qué?
Actualizar WordPress no lo arregla. El fallo está en PHP, el motor que hay debajo, y eso lo gestiona quien te aloja la web.
Si tienes hosting normal (compartido o gestionado): escribe hoy a tu proveedor y pregunta si ya han aplicado el parche de PHP2Shell. Los buenos ya lo han hecho; algunos, como Raiola Networks, lo han ido contando en su página de estado casi hora a hora.
Si tienes un servidor propio (VPS) o te lo lleva un informático: hay que actualizar PHP a una de las versiones corregidas y reiniciar el servicio. Si no se puede, los organismos de ciberseguridad recomiendan apagar la web hasta parchear.
Si tu web usa una versión vieja de PHP (7.x u 8.0-8.1): es el momento de pedir que te la suban. Ya no tenía soporte y ahora es un riesgo serio.
Y en cualquier caso: haz una copia de seguridad de tu web. Hoy mejor que mañana.
Fuentes: Xataka · Escudo Digital · MuyComputer · Moncloa.com · Raiola Networks
