Un fallo en la tecnología que mueve buena parte de las webs del mundo ha puesto en alerta a empresas de todos los tamaños. Su nombre es PHP2SHELLy dispones de Información de detalle del CERT . Aprovechamos el caso para repasar las diez medidas que toda empresa debería tener en marcha.
Esta semana se ha conocido PHP2SHELL, el nombre con el que se ha bautizado a dos fallos de seguridad críticos en PHP, el lenguaje con el que funcionan casi todas las webs hechas con WordPress, muchas tiendas online y buena parte de los portales de empresa. El fallo permite a un atacante tomar el control de una web desde internet, sin necesidad de contraseña.
El caso tiene varios ingredientes que lo hacen especialmente serio: los detalles se filtraron antes de que existiera el arreglo, se detectaron intentos de ataque antes incluso de que se hiciera público, y las versiones antiguas de PHP, que siguen funcionando en miles de webs, no van a recibir parche. El arreglo para las versiones con soporte se publicó el 21 de octubre de 2026.
La buena noticia es que la solución es conocida: actualizar. La mala, que muchas empresas no saben quién debe hacerlo, ni cuántas webs tienen, ni qué hacer si ya han sido atacadas. Este decálogo está pensado para que eso no vuelva a pillarte por sorpresa.
El decálogo de lo que hay que hacer con PHP2SHELL
1. Actúa hoy, no la semana que viene
Cuando se publica un fallo crítico, los atacantes automatizan la búsqueda de webs vulnerables en cuestión de horas. Pide hoy mismo a quien gestiona tu web que te confirme por escrito que ha aplicado la actualización de PHP de octubre de 2026. Y recuerda: actualizar WordPress o sus plugins no basta, porque el fallo está en el «motor» del servidor.
2. ¿Sabes cuántas webs tienes?
La web corporativa, la tienda online, el área de clientes, la web de aquella campaña de 2019 que nadie retiró… Haz una lista de todas, dónde están alojadas y quién las mantiene. Las webs olvidadas son las que se comprometen primero, porque nadie las vigila.
3. Pon nombre y plazo a la seguridad
En muchas empresas la web la hizo una agencia, la aloja otra empresa y la actualiza «quien pueda». Deja por escrito, en el contrato de mantenimiento, quién aplica los parches de seguridad, en qué plazo y cómo te avisa si hay un incidente.
4. No uses tecnología caducada
Una versión «sin soporte» es una versión que ya no recibe arreglos. En el caso php2shell, las versiones de PHP 8.1 y anteriores se han quedado sin parche. Si tu proveedor te dice que tu web usa algo así, pide un plan de migración con fecha.
5. Copias de seguridad que funcionen de verdad
Copias diarias, guardadas fuera del servidor de la web y probadas de vez en cuando. Una copia que nunca se ha intentado restaurar no es una copia, es una esperanza. Si la web es atacada, es lo que te permitirá volver a estar en línea en horas y no en semanas.
6. Cierra bien las puertas
Contraseñas distintas para cada servicio, verificación en dos pasos en todos los paneles de administración y solo los usuarios imprescindibles. Revisa de vez en cuando quién tiene acceso y da de baja a antiguos empleados y proveedores.
7. Guarda solo los datos que necesites
Cada dato personal que guarda tu web es un dato que puede robarse. Si un formulario pide más información de la necesaria, o si los datos se quedan años en el servidor sin motivo, el riesgo crece sin aportar nada. Menos datos, menos exposición y menos consecuencias legales si algo sale mal.
8. Vigila para enterarte antes que nadie
Muchas empresas descubren que su web fue atacada cuando un cliente les avisa o cuando Google la marca como peligrosa. Un servicio de monitorización que alerte de cambios en los archivos, accesos extraños o caídas te permite reaccionar en horas. Un cortafuegos web (WAF) delante de la página bloquea además muchos ataques automáticos y da margen mientras se aplica un parche.
9. Ten un plan antes de necesitarlo
Si mañana tu web es atacada, ¿quién decide qué hacer?, ¿a quién se avisa?, ¿quién habla con los clientes? Si hay datos personales afectados, la ley obliga a notificarlo a la Agencia Española de Protección de Datos en un máximo de 72 horas. Ese no es momento para improvisar: deja el plan escrito, con nombres y teléfonos.
10. Contrata un ciberseguro (y que te asesorén bien!)
Ninguna medida reduce el riesgo a cero. Un seguro de ciberriesgo es la red que protege a la empresa cuando, pese a todo, el ataque se produce. Según la póliza, puede cubrir:
- La respuesta al incidente: expertos forenses que averiguan qué ha pasado, limpian los sistemas y recuperan la actividad, a menudo con un servicio de asistencia disponible las 24 horas.
- Los costes legales y de notificación a la autoridad de protección de datos y a los afectados.
- La responsabilidad civil frente a clientes o terceros perjudicados por la filtración de sus datos.
- La pérdida de beneficios mientras la web o la tienda online está fuera de servicio.
- La gestión de la reputación y la comunicación de crisis.
Dos consejos al contratarlo. Primero, lee las condiciones: muchas pólizas exigen mantener medidas mínimas de seguridad, como aplicar los parches críticos en un plazo razonable o tener copias de seguridad, y avisar a la aseguradora en cuanto se sospecha un incidente. Cumplir los puntos 1 a 9 de este decálogo no solo reduce el riesgo, también protege la cobertura. Segundo, apóyate en un mediador de seguros que analice tu actividad y te ayude a elegir límites y coberturas adecuados a tu empresa.
Con miedo, pero tiene arreglo
PHP2SHELL no será el último fallo grave. Lo que marca la diferencia entre un susto y una crisis no es tener una web invulnerable, que no existe, sino saber qué tienes, quién lo cuida, cómo reaccionar y quién te respalda si algo sale mal. Prevención y protección, como en cualquier otro riesgo de la empresa.
¿Quieres saber si tus webs están protegidas o revisar tu cobertura de ciberriesgo? Entra en Xeoris o llámanos al TELÉFONO 919379900
