Los últimos ciberataques han puesto en alerta a todo Internet, que atraviesa uno de los episodios más críticos en ciberseguridad de los últimos años.
Dos vulnerabilidades críticas descubiertas en PHP, la tecnología utilizada detrás de una enorme cantidad de páginas web, han desencadenado millones de intentos de ataque y obligado a empresas y administraciones de diferentes países a tomar medidas de emergencia.
El problema ha sido bautizado como PHP2Shell y engloba dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, calificadas con una gravedad de 9,2 sobre 10.
Los fallos pueden permitir que un atacante ejecute código de forma remota sin necesidad de autenticarse y, en determinadas circunstancias, acceder a información sensible almacenada en la memoria del servidor.
La situación también muestra una nueva realidad de la ciberseguridad: la inteligencia artificial está acelerando tanto el descubrimiento de vulnerabilidades como la capacidad para investigar y responder ante ellas.
Por eso merece la pena aprovechar esta alerta para revisar nuestra propia seguridad digital.
¿Qué ha pasado con PHP?
PHP es uno de los lenguajes sobre los que se ha construido buena parte de Internet. Está detrás de numerosos gestores de contenidos y aplicaciones web, incluido WordPress.
Investigadores de seguridad descubrieron dos vulnerabilidades extremadamente graves en el propio núcleo de PHP.
Una de ellas fue localizada con ayuda de GPT-5.6 Sol dentro de la iniciativa Patch the Planet de OpenAI, mientras que investigadores de Wiz descubrieron y notificaron de forma independiente ambas vulnerabilidades. Google también ha explicado que Gemini 4 Argon participó en diferentes fases de la investigación realizada por Wiz.
Una vez conocidas las vulnerabilidades comenzó una carrera para actualizar los servidores antes de que los atacantes consiguieran aprovecharlas.
Cloudflare desplegó protecciones en su firewall antes de la divulgación pública y posteriormente detectó tráfico intentando explotar los fallos.
La PHP Foundation publicó actualizaciones de emergencia el 21 de octubre y dejó clara su recomendación: los sistemas afectados deben actualizarse. Las versiones corregidas incluyen PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Si tienes una página web, comprueba inmediatamente tu versión de PHP
Este es probablemente el consejo más importante para cualquier autónomo, empresa o persona que tenga una página web.
Si utilizas WordPress, WooCommerce u otro sistema basado en PHP, debes comprobar qué versión está utilizando actualmente tu servidor.
No basta con entrar en WordPress y actualizar los plugins.
La vulnerabilidad se encuentra en PHP, por lo que actualizar WordPress, el tema y los complementos es recomendable para mantener la seguridad general de la web, pero no corrige PHP2Shell.
Es necesario que el servidor utilice una versión de PHP que incluya el parche.
Si tienes un alojamiento administrado, consulta el panel de tu proveedor o pregunta directamente si tu servidor está protegido frente a PHP2Shell.
OpenAI también ha publicado un comprobador de versiones de PHP como herramienta para Codex que permite ayudar a los administradores a identificar versiones potencialmente vulnerables.
Actualiza también tu ordenador y tu teléfono
El problema actual de PHP afecta principalmente a los servidores web, pero esta oleada sirve para recordar una de las medidas de seguridad más sencillas y efectivas: mantener actualizado todo lo que utilizamos.
Ordenador, teléfono móvil, navegador, sistema operativo y aplicaciones deberían tener instaladas las últimas actualizaciones de seguridad.
Los ciberdelincuentes aprovechan especialmente las vulnerabilidades conocidas porque, una vez publicado un fallo, pueden automatizar la búsqueda de dispositivos y servidores que todavía no han sido actualizados.
Retrasar durante semanas una actualización de seguridad puede significar mantener abierta una puerta cuyo funcionamiento ya conocen los atacantes.
Deja de repetir contraseñas
Una contraseña robada puede convertirse en un problema mucho mayor cuando utilizamos la misma combinación en diferentes servicios.
Si un atacante consigue las credenciales de una página poco importante puede probar automáticamente ese mismo correo electrónico y contraseña en servicios mucho más sensibles.
Por eso conviene utilizar una contraseña diferente para cada cuenta.
No necesitas memorizar decenas de ellas. Puedes utilizar un gestor de contraseñas que genere y almacene claves largas y diferentes para cada servicio.
El objetivo es sencillo: que el robo de una contraseña no permita acceder al resto de tu vida digital.
Activa la autenticación en dos pasos
La segunda medida debería ser activar la autenticación de dos factores en las cuentas importantes.
Correo electrónico, banca, redes sociales, servicios profesionales, almacenamiento en la nube y cualquier plataforma que contenga información sensible deberían disponer de una segunda barrera de protección.
Siempre que el servicio lo permita, puedes utilizar una aplicación de autenticación o, todavía mejor, passkeys y llaves de seguridad compatibles.
De esta manera, conocer tu contraseña puede no ser suficiente para acceder a la cuenta.
Mucho cuidado con las llamadas y mensajes urgentes
La inteligencia artificial también está haciendo que algunas estafas sean considerablemente más convincentes.
Las herramientas actuales permiten imitar voces y generar textos, fotografías y otros contenidos falsos con mucha facilidad.
Por eso debemos desconfiar especialmente cuando una persona nos solicita dinero, contraseñas, códigos de verificación o información sensible utilizando como argumento una situación urgente.
Si recibes una llamada aparentemente realizada por un familiar solicitando una transferencia inmediata, una de las mejores medidas es muy sencilla: cuelga y llama tú directamente a esa persona utilizando su número habitual.
Las familias también pueden establecer una palabra o pregunta privada que permita comprobar rápidamente la identidad ante situaciones sospechosas.
Nunca autorices un pago importante utilizando únicamente un mensaje
Esta precaución también debería trasladarse a las empresas.
Si recibes un correo de un proveedor comunicando un cambio de cuenta bancaria, un mensaje del responsable de la empresa solicitando urgentemente una transferencia o cualquier modificación inesperada relacionada con dinero, confirma la operación utilizando un segundo canal.
Una llamada de teléfono realizada por ti puede evitar una estafa.
La misma regla puede aplicarse a cambios de contraseñas, recuperación de cuentas o solicitudes de información confidencial.
Cuanto mayor sea la urgencia que intenta transmitir el mensaje, mayor debería ser nuestra precaución.
Protege especialmente tu correo electrónico
Hay una cuenta que merece una atención especial: tu correo electrónico.
Quien controla tu correo puede intentar recuperar las contraseñas de muchos de los servicios asociados a esa dirección.
Por eso deberías utilizar una contraseña exclusiva, activar la autenticación en dos pasos y revisar periódicamente los dispositivos y sesiones que tienen acceso a la cuenta.
También conviene desconfiar de cualquier correo que solicite iniciar sesión urgentemente mediante un enlace.
En caso de duda, no pulses. Abre directamente la página oficial del servicio desde el navegador.
Haz copias de seguridad
La seguridad no consiste únicamente en impedir un ataque. También consiste en estar preparado para recuperarnos si finalmente ocurre.
Documentos importantes, fotografías, archivos profesionales y páginas web deberían disponer de copias de seguridad.
En el caso de una empresa o una web profesional, además es importante comprobar que esas copias realmente pueden restaurarse. Tener un sistema automático de backup sirve de poco si descubrimos después del ataque que las copias estaban incompletas o también fueron comprometidas.
La inteligencia artificial cambia las reglas de la ciberseguridad
PHP2Shell tiene además una característica especialmente interesante: la inteligencia artificial ha desempeñado un papel importante en su descubrimiento.
OpenAI explica que GPT-5.6 Sol permitió localizar uno de los fallos dentro de su iniciativa Patch the Planet, mientras que Wiz encontró independientemente las vulnerabilidades utilizando diferentes herramientas y modelos de IA.
La buena noticia es que la IA puede ayudar a descubrir vulnerabilidades antes de que sean explotadas.
La mala noticia es que esas mismas capacidades también pueden reducir enormemente el tiempo necesario para analizar una vulnerabilidad conocida, buscar sistemas expuestos y automatizar determinadas fases de un ataque.
La consecuencia puede ser que el margen para reaccionar sea cada vez menor.
La mejor defensa sigue siendo bastante sencilla
No hace falta ser especialista en ciberseguridad para reducir considerablemente el riesgo.
Mantener los sistemas actualizados, utilizar contraseñas diferentes, activar la autenticación en dos pasos, desconfiar de peticiones urgentes, verificar pagos por otro canal y disponer de copias de seguridad siguen siendo algunas de las medidas más efectivas.
Y si tienes una página web, estos días hay una comprobación adicional que merece prioridad: asegúrate de que tu servidor utiliza una versión de PHP corregida frente a PHP2Shell.
Porque la inteligencia artificial está haciendo que encontrar y explotar vulnerabilidades pueda ser cada vez más rápido. Nuestra capacidad para protegernos también tendrá que serlo.