Si su web, su tienda online o su intranet funcionan con PHP, y la mayoría de los sitios WordPress lo hacen, conviene revisar hoy mismo qué versión usan. El 21 de octubre de 2026 el proyecto PHP anunció parches de emergencia para dos vulnerabilidades críticas, conocidas como PHP2Shell.

Qué ha pasado

Se trata de dos fallos, CVE-2026-109618 y CVE-2026-109619, ambos con puntuación crítica (9,2 sobre 10). Pueden permitir que un atacante ejecute código en el servidor sin necesidad de iniciar sesión. Uno nace de un error al gestionar la falta de memoria; el otro, de datos de una petición anterior que quedan mal liberados.

La clave para una empresa es que el ataque puede producirse antes de que se ejecute el código de su aplicación. Por eso una contraseña robusta en el panel de administración no basta como defensa.

A quién afecta

A cualquier servidor que ejecute PHP en sus formas habituales (PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP o LiteSpeed). Según el análisis de Fortinet, la configuración con mod_php es la de mayor riesgo. Se contaron decenas de millones de servicios en Internet con versiones potencialmente afectadas, aunque esa cifra incluye servicios que pueden estar protegidos por parches del proveedor.

Un detalle importante: las versiones 8.1 y anteriores ya no reciben actualizaciones de seguridad estándar. Si su web aún corre sobre una de ellas, la actualización de PHP deja de ser opcional.

Qué versiones corrigen el problema

Rama de PHP    Versión corregida

8.2                          8.2.35
8.3                          8.3.36
8.4                          8.4.27
8.5                          8.5.12

Algunos proveedores de hosting y distribuciones aplican el parche sin cambiar el número de versión, así que la cifra que ve en su panel puede engañar. Lo más seguro es preguntar a su proveedor si el paquete incluye la corrección.

Qué debería hacer ahora

1. Averigüe qué versión de PHP usa cada web y quién la gestiona. En WordPress, la sección Herramientas → Salud del sitio la indica.
2. Actualice a una versión corregida o confirme por escrito con su proveedor que el parche está aplicado.
3. Reinicie los servicios PHP tras actualizar y compruebe que el servidor ya usa la versión nueva.
4. Active un cortafuegos de aplicaciones web (WAF) o IPS mientras tanto, como protección adicional, nunca como sustituto del parche.
5. Revise si ha habido intrusión previa: peticiones raras, procesos inesperados, archivos modificados o conexiones salientes que no reconoce. Instalar el parche no expulsa a un atacante que ya haya entrado.
6. Aplique el ajuste temporal recomendado por PHP para un tercer fallo relacionado (CVE-2026-115560): desactivar session.upload_progress.enabled.

Cómo podemos ayudarle

En Procesos llevamos más de 35 años cuidando la infraestructura de empresas en Barcelona. Si no sabe qué versión de PHP corre su web, o quiere que revisemos su servidor y comprobemos que no hay rastros de intrusión, solicite un diagnóstico y le damos una respuesta clara.

Pida su diagnóstico →

 

Fuentes: Fortinet, «Understanding PHP2Shell vulnerabilities». Datos a fecha de 4 de noviembre de 2026; compruebe el aviso oficial de PHP por si hay novedades.

Un correo de «su banco», un aviso de un «proveedor» con una factura adjunta o un mensaje de un «director» que pide una transferencia urgente. El phishing, que consiste en engañar a una persona para que entregue datos o ejecute una acción, sigue siendo una de las formas más comunes de entrar en una empresa. Y no hace falta ser una gran compañía: las pymes son un objetivo habitual porque suelen tener menos defensas.

Por qué funciona

El phishing no ataca al sistema, ataca a la prisa y a la confianza. Los mensajes actuales ya no tienen las faltas de ortografía de hace años: se redactan con cuidado, imitan el tono de un compañero real y, cada vez más, se apoyan en herramientas que generan textos muy convincentes.

Las variantes que más vemos

• Correo clásico: enlaces a una página falsa que copia el acceso de Microsoft 365, del banco o de un servicio de mensajería.
• Fraude del CEO o de la factura: alguien se hace pasar por un directivo o un proveedor para pedir un pago o un cambio de cuenta bancaria.
• SMS y WhatsApp (smishing): paquetes retenidos, multas, avisos del banco con un enlace.
• Códigos QR (quishing): un QR en un correo o en un cartel que lleva a una web falsa.
• Llamadas (vishing): una voz que dice ser del soporte técnico o del banco y pide un código.

Siete señales para detectarlo

1. Urgencia o amenaza: «su cuenta se bloqueará hoy», «pago inmediato».
2. Remitente casi correcto: compruebe la dirección completa, no solo el nombre que se muestra.
3. Enlaces que no coinciden: pase el ratón por encima sin hacer clic y mire la dirección real.
4. Petición inusual: credenciales, códigos de verificación, cambios de IBAN, tarjetas regalo.
5. Adjuntos inesperados, sobre todo comprimidos o con macros.
6. Saludo genérico en un mensaje que debería conocerle por su nombre.
7. Un canal distinto al habitual: un jefe que de pronto escribe por WhatsApp desde un número nuevo.

Si duda, no responda al mensaje: llame al remitente por un teléfono que usted ya conozca.

Qué hacer si ya ha hecho clic

1. Desconecte el equipo de la red, pero no lo apague.
2. Si introdujo una contraseña, cámbiela de inmediato desde otro dispositivo y revise las sesiones abiertas.
3. Avise al responsable de informática o a su proveedor sin esperar. Cuanto antes se sepa, menos daño.
4. Si hubo un pago, contacte con el banco enseguida para intentar frenar la operación.
5. Puede consultar a INCIBE por teléfono (017) o en su web.

Cómo protegerse como empresa

• Verificación en dos pasos (MFA) en correo, VPN y paneles de administración. Es la medida que más reduce el daño de una contraseña robada.
• Filtro de correo y antispam actualizado, con análisis de enlaces y adjuntos.
• Antivirus y supervisión en cada equipo, para frenar lo que pase el filtro.
• Copias de seguridad aisladas, que un atacante no pueda borrar ni cifrar.
• Procedimiento de pagos: todo cambio de cuenta bancaria se confirma por una segunda vía.
• Formación breve y periódica, con simulacros de phishing. Tres minutos al mes funcionan mejor que una charla anual.

Cómo podemos ayudarle

En Procesos combinamos filtrado de correo, supervisión, copias blindadas y formación para equipos. Si quiere saber cuán expuesta está su empresa, empezamos con un diagnóstico.

Pida su diagnóstico →