Pauta digital
Redes sociales
Posicionamiento SEO
Automatización
Diseño web
Contenido con IA
Identidad corporativa
Equipo Lumia MKT
Esta semana internet vivió una de sus alertas de seguridad más grandes en años. El 20 de octubre de 2026 se hizo público PHP2Shell, el nombre que recibieron dos fallas críticas en PHP, el lenguaje con el que funciona cerca del 70% de los sitios web del mundo. El 21 de octubre PHP publicó parches de emergencia y, el mismo día, empresas de ciberseguridad ya reportaban intentos de ataque reales.
Si tu empresa tiene una página web, una tienda en línea o un WordPress, este artículo es para ti. Te explicamos qué pasó, por qué es tan grave y qué debes revisar hoy mismo, sin tecnicismos.
Qué es PHP2Shell y por qué todos hablan de esto
PHP es el motor que hace funcionar la mayoría de sitios web: WordPress, WooCommerce, Joomla, Drupal, Magento y miles de páginas hechas a la medida. Cuando alguien llena un formulario, compra en una tienda o inicia sesión, casi siempre hay PHP trabajando detrás.
Las dos fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de 9,2 sobre 10 en gravedad. En palabras simples, permiten que un atacante, sin usuario ni contraseña, ejecute código en el servidor donde vive tu sitio. Además, pueden dejar leer partes de la memoria del servidor, donde a veces hay contraseñas, llaves de API o datos de otras visitas.
Lo más delicado: el problema está en PHP mismo, no en tu página. Aunque tu sitio esté bien programado y tus plugins estén al día, si el servidor usa una versión de PHP vulnerable, el riesgo existe. Las fallas afectan versiones desde PHP 5.4, publicada en 2012, hasta PHP 8.5.
Cómo la inteligencia artificial encontró una falla escondida por años
Parte de esta historia es tan importante como la falla misma. Según lo documentado públicamente, uno de los errores se conocía desde 2024, pero no se corrigió porque se consideraba muy difícil de aprovechar. En agosto de 2026, investigadores de seguridad que auditaban el código de PHP con apoyo de modelos de IA de última generación encontraron la forma de convertirlo en un ataque real.
La lección es clara: la IA no solo acelera el marketing o la programación. También acelera la búsqueda de fallas, tanto para quienes defienden como para quienes atacan. Lo que antes tomaba meses de investigación ahora puede tomar días, y por eso los tiempos de reacción de las empresas tienen que ser más cortos.
La línea de tiempo de una semana caótica
| Fecha | Qué pasó |
|---|---|
| 17 de octubre | Amazon detecta un intento de explotación en sus sensores, cuatro días antes de que el problema fuera público. |
| 20 de octubre | Se filtra la existencia de las fallas. Cloudflare reporta señales tempranas de ataques y activa reglas temporales de protección. |
| 21 de octubre | PHP publica los parches de emergencia, un día antes de lo previsto. Empresas de seguridad observan intentos de ataque reales ese mismo día. |
| Días siguientes | Gobiernos y grandes organizaciones desconectan sitios de forma preventiva mientras actualizan, entre ellos portales gubernamentales en Europa. |
Las versiones de PHP que ya están protegidas
Las versiones corregidas oficialmente son estas. Si tu servidor tiene una versión igual o superior dentro de la misma rama, estás protegido frente a PHP2Shell:
- PHP 8.5.12 o superior
- PHP 8.4.27 o superior
- PHP 8.3.36 o superior
- PHP 8.2.35 o superior
Qué debe hacer tu empresa hoy: checklist en 6 pasos
- Averigua tu versión de PHP. En el panel de tu hosting (cPanel, hPanel de Hostinger, Plesk u otro) busca "Configuración de PHP" o "Versión de PHP". Ahí aparece el número exacto.
- Pide o aplica la actualización. Si usas hosting compartido, escribe a soporte y pregunta si ya aplicaron los parches de CVE-2026-109618 y CVE-2026-109619. Los proveedores serios lo están haciendo de forma automática, pero confirma.
- Actualiza también tu sitio. Al subir de versión de PHP, revisa que tu WordPress, tema y plugins sean compatibles. Haz primero una copia de seguridad.
- Cambia contraseñas y llaves sensibles. Como la falla puede exponer memoria del servidor, es buena práctica cambiar contraseñas de administrador, de bases de datos y llaves de API de pasarelas de pago o CRM.
- Busca señales de intrusión. Archivos PHP extraños en tu sitio, usuarios administradores que no creaste, redirecciones raras o un aumento de spam enviado desde tu dominio son alertas para revisar con un experto.
- Activa una capa de protección. Un firewall de aplicaciones web (WAF), como el de Cloudflare o el de tu hosting, ayuda a bloquear ataques automáticos mientras actualizas.
Por qué esto también es un tema de marketing
Un sitio comprometido no es solo un problema técnico. Google puede marcarlo como peligroso y sacarlo de los resultados, tus anuncios en Google y Meta pueden ser rechazados, los correos de tu dominio empiezan a caer en spam y, lo más costoso, tus clientes pierden la confianza. Años de posicionamiento SEO pueden caerse en una tarde.
Por eso en Lumia construimos los sitios pensando en la seguridad desde la base: páginas rápidas y ligeras, sin plugins innecesarios, con formularios protegidos contra robots y en servidores con PHP al día. Si quieres conocer cómo trabajamos, mira nuestro servicio de diseño y desarrollo web.
Preguntas frecuentes sobre la vulnerabilidad de PHP
¿Mi sitio en WordPress está en riesgo? WordPress funciona con PHP, así que depende de la versión de PHP de tu servidor. Si es una versión anterior a las corregidas, sí.
¿Basta con actualizar los plugins? No. La falla está en PHP, el motor del servidor. Hay que actualizar PHP, no solo el sitio.
¿Y si mi página es de una plataforma como Wix o Shopify? En esas plataformas cerradas la infraestructura la administra el proveedor. Aun así, vale la pena revisar sus comunicados oficiales.
¿Cuánto tarda arreglarlo? En la mayoría de casos, cambiar la versión de PHP en el hosting toma minutos. Lo que toma más tiempo es probar que el sitio siga funcionando bien.
¿Tu web está en manos seguras?
Si no sabes qué versión de PHP tiene tu sitio, quién lo administra o cuándo fue la última copia de seguridad, es momento de encender la luz. En una sesión estratégica de 30 minutos sin costo revisamos contigo el estado de tu web y te decimos qué hacer primero. ¿Lo revisamos juntos?
Fuentes: The Hacker News · Wikipedia, PHP2Shell · Axios · TechCrunch, aviso de CISA · TechCrunch · Infobae. Información vigente a la fecha de publicación; consulta siempre los avisos oficiales de PHP y de tu proveedor de hosting.
