¿Qué ha pasado? Una comparación sencilla
Imagina que muchas tiendas del barrio usan el mismo modelo de cerradura. Un día se descubre que esa cerradura se puede abrir con una llave falsa.
Eso es lo que ha pasado con PHP. Es un programa que hace funcionar muchísimas páginas web, y se ha descubierto que tenía dos fallos graves. Con ellos, un delincuente podría entrar en el ordenador donde está guardada una página web y hacer allí lo que quisiera.
- 21 de octubre: los creadores de PHP publicaron la "cerradura nueva". Se llama parche o actualización.
- Ahora: cada página web tiene que cambiar su cerradura. Es decir, actualizar PHP.
- Los intentos de ataque: desde el primer día hay delincuentes probando la llave falsa en muchas webs, millones de veces, según la empresa Cloudflare. Hasta el 23 de octubre, nadie ha confirmado públicamente que hayan conseguido entrar por este fallo. Pero eso puede cambiar, y por eso hay que actualizar.
- Webs sin cambiar: el 23 de octubre seguían sin actualizar más de 34 millones de servicios, según la empresa Censys.
Es un aviso serio, pero no es motivo de pánico. Lo importante es saber qué te toca hacer a ti.
¿Me afecta a mí?
| Tu situación | Qué tienes que hacer |
|---|---|
| Solo uso internet: correo, banco, compras, WhatsApp, redes sociales | Nada técnico. Tu móvil y tu ordenador no están afectados por este fallo, porque el problema está en los equipos donde se guardan las webs. Lee más abajo "Lo que nunca debes hacer". |
| Tengo una página web o una tienda online, aunque la hiciera otra persona | Pregunta hoy a la persona o empresa que te la mantiene si ya está actualizada. Más abajo tienes el mensaje listo. |
| Mi web usa WordPress u otro programa para crear webs | Lo mismo. En el caso de WordPress, no hace falta actualizar WordPress por esto: lo que hay que actualizar es PHP, y eso lo hace tu proveedor o quien te la mantiene. |
| Soy yo quien gestiona mi propio servidor | Esto ya es técnico. Sigue la guía paso a paso para actualizar PHP. |
¿No sabes quién te mantiene la web? Busca el correo o la factura de la empresa de "hosting", que es la que guarda tu página. Suelen tener nombres como IONOS, Hostinger o GoDaddy. A ellos también puedes preguntarles.
Mensajes listos para copiar y enviar
Pulsa Copiar mensaje y pégalo en WhatsApp o en un correo. O pulsa Enviar por WhatsApp y elige a quién se lo mandas. Si no puedes pulsar los botones, mantén el dedo sobre el texto del mensaje para copiarlo.
Para quien me mantiene la web
Hola. Ha salido un aviso de seguridad grave sobre PHP, el programa que usan muchas páginas web (el fallo se llama PHP2Shell y se corrigió el 21 de octubre de 2026). ¿Has actualizado PHP en mi web? ¿Me puedes confirmar por escrito que ya está corregido? Gracias.
Para la empresa de alojamiento (hosting)
Hola. ¿Habéis aplicado en mi plan la actualización de seguridad de PHP del 21 de octubre de 2026 (fallos CVE-2026-109618 y CVE-2026-109619)? ¿Qué versión de PHP usa mi web y está ya corregida? Gracias.
Para avisar a un familiar o amigo con web o negocio
Oye, ha salido un aviso de seguridad que afecta a muchas páginas web. Si tienes web o tienda online, pregunta a quien te la lleva si ya la ha actualizado. Aquí lo explican fácil, sin tecnicismos: https://ecosdesatoshi.com/articulos/fallo-php-explicado-facil-sin-informatica.html
Lo que nunca debes hacer
- No instales nada que te llegue por correo, SMS o WhatsApp diciendo que es el "parche" o una "actualización de seguridad". Las actualizaciones de PHP se hacen en el servidor, no en tu móvil ni en tu ordenador.
- No pulses enlaces de mensajes que hablen de este fallo y te pidan tu contraseña. La empresa IONOS ha avisado expresamente a sus clientes de que no lo hagan.
- Nunca des tu contraseña ni tus claves por correo, por teléfono ni por mensaje. Ni tu banco ni tu empresa de hosting te las pedirán así.
- No pagues a nadie que te llame o te escriba, sin que lo hayas pedido, ofreciéndote "limpiar" o "proteger" tu web.
- Si dudas, no contestes al mensaje. Llama tú al teléfono oficial de la empresa que ya tengas guardado, no al que aparece en el mensaje.
Las señales de alarma de las estafas son las mismas en todas partes. Las tienes explicadas en la guía de cómo detectar estafas.
Palabras que conviene conocer
- PHP: un programa que hace funcionar muchísimas páginas web. Está en el ordenador donde se guarda la web, no en tu móvil.
- Servidor: el ordenador, siempre encendido, donde se guarda una página web.
- Hosting o alojamiento: la empresa que alquila ese ordenador y guarda tu web.
- Fallo de seguridad: un error que un delincuente puede aprovechar para entrar donde no debe.
- Parche o actualización: la corrección que arregla el fallo. Es la "cerradura nueva".
- PHP2Shell: el nombre con el que se conoce a estos fallos.
Preguntas rápidas
¿Puede entrar un virus en mi móvil o en mi ordenador por esto?
No. El fallo está en los equipos donde se guardan las páginas web, no en tu móvil ni en tu ordenador.
¿Tengo que cambiar mis contraseñas?
Por este fallo en sí, no. Pero si una web donde tienes cuenta te avisa de que ha sufrido un ataque, cambia la contraseña entrando tú mismo en su página oficial, escribiendo la dirección. Y conviene usar una contraseña distinta en cada sitio.
¿Por qué se habla tanto de esto?
Porque PHP lo usan muchísimas webs y el fallo permite tomar el control de una web sin conocer ninguna contraseña. Además, ya se han intentado ataques en masa, y varias páginas de gobiernos, colegios y hospitales de distintos países se apagaron un tiempo por precaución.
¿Cuánto tarda en solucionarse?
Depende de cada web. Algunos proveedores ya han actualizado, pero millones de servicios seguían sin hacerlo el 23 de octubre. Por eso conviene preguntar a quien te mantiene la web.
En resumen
- Si solo usas internet, no tienes que hacer nada técnico.
- Si tienes una web, pregunta hoy a quien te la mantiene si ya la ha actualizado.
- Si te llega un mensaje que te pide hacer algo por este fallo, desconfía y no pulses nada.
Si quieres saber más
Para quien quiera el detalle técnico, hay tres artículos: la guía para actualizar PHP paso a paso, el seguimiento 48 horas después y lo que se sabe del tercer fallo.
Fuentes: aviso de PHP (php.net), INCIBE-CERT, CCN-CERT, IONOS, Cloudflare y Censys, según los recoge la prensa especializada. Información a 23 de octubre de 2026; se actualizará si hay novedades. Este artículo es informativo y no sustituye el consejo de un profesional.