Una alerta de ciberseguridad mundial puso en jaque este miércoles 21 de octubre a sitios web, tiendas online, medios y servicios públicos que funcionan con PHP. Se detectaron dos vulnerabilidades críticas, bautizadas "PHP2Shell", que podrían permitir que un atacante tome control de un servidor sin necesitar usuario ni contraseña. Para el usuario común, el efecto más visible fue que algunos sitios dejaron de funcionar por un rato o mostraron avisos de mantenimiento, porque sus responsables los desconectaron de forma preventiva mientras aplicaban las correcciones.
Qué es PHP y por qué importa
PHP es una tecnología que trabaja "detrás de escena" en millones de páginas. El visitante no la ve, pero es la que permite que un sitio muestre contenidos, procese formularios, gestione cuentas de usuario o funcione como tienda online.
Según se informó, está presente en alrededor del 70% de los sitios de internet. Por eso una falla en este componente no golpea a una sola empresa: puede alcanzar a blogs, medios, comercios, plataformas educativas, organismos públicos y servicios que dependen de WordPress u otras herramientas construidas sobre PHP.
Qué falla se detectó
Los desarrolladores de PHP identificaron dos vulnerabilidades críticas, registradas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una severidad de 9,2 sobre 10 y pueden permitir la ejecución remota de código: que alguien envíe instrucciones al servidor desde internet.
En términos simples, si un servidor no estaba actualizado, un atacante podía intentar entrar sin conocer ninguna contraseña y, en el peor escenario, manipular el sitio, robar información almacenada allí o usarlo para lanzar otros ataques.
Malwarebytes informó que ya había reportes de ataques dirigidos contra estas fallas, lo que motivó los pedidos de actualizar con urgencia y, en algunos casos, aislar temporalmente los servicios afectados.
Qué hicieron los desarrolladores
El equipo de PHP publicó parches de emergencia el miércoles 21 de octubre, disponibles para las versiones 8.2, 8.3, 8.4 y 8.5. Las instalaciones más antiguas quedaron fuera de esa actualización directa.
WordPress aclaró que sus sitios funcionan sobre servidores con PHP y que, en este caso, la actualización depende de quien administra el hosting o el servidor, no de una simple actualización desde el panel del sitio.
Cómo afectó a Argentina
El caso tuvo repercusión local porque Argentina aparece entre los países con mayor proporción de servidores PHP expuestos. Según un relevamiento citado por Criptonoticias, el 88% de los servidores PHP expuestos en el país no recibía el parche oficial de forma directa, por encima del 82% que registraba Corea del Sur.
Ese número no significa que el 88% de los sitios argentinos haya sido vulnerado. Indica que muchos servidores usaban versiones viejas de PHP, en particular la 8.1 o anteriores, que no entraban en el alcance de la actualización oficial.
El riesgo es mayor en el hosting compartido, donde varios sitios funcionan en el mismo servidor: si ese servidor se compromete, más de una página puede verse afectada a la vez.
| Dato | Detalle |
|---|---|
| Vulnerabilidades | CVE-2026-109618 y CVE-2026-109619 |
| Severidad | 9,2 sobre 10 (ambas) |
| Riesgo principal | Ejecución remota de código sin usuario ni contraseña |
| Versiones con parche | PHP 8.2, 8.3, 8.4 y 8.5 |
| Servidores PHP expuestos en Argentina sin parche directo | 88% (según un relevamiento citado por Criptonoticias) |
Qué notaron los usuarios
La falla no se tradujo necesariamente en un robo masivo de contraseñas ni en un problema en los teléfonos o computadoras de los usuarios. El impacto principal estuvo en los servidores donde se alojan los sitios. Algunas personas pudieron encontrarse con:
- Páginas caídas o con errores temporales.
- Sitios con avisos de mantenimiento.
- Servicios públicos, medios o tiendas online sin acceso durante algunas horas.
- Demoras en trámites, consultas o compras mientras se aplicaban los parches.
En distintos países, gobiernos y organismos públicos apagaron preventivamente sus portales. Los casos más difundidos correspondieron a Europa.
¿Hay que preocuparse?
Según el material consultado, no hay motivo para el pánico: que exista la vulnerabilidad no implica que todas las páginas con PHP hayan sido atacadas ni que las contraseñas de todos los usuarios hayan quedado expuestas. El riesgo concreto depende de la versión del servidor, su configuración y de si el responsable del sitio aplicó la corrección.
De todos modos, conviene reforzar las precauciones habituales:
- Usar contraseñas distintas para cada servicio importante.
- Activar la verificación en dos pasos cuando esté disponible.
- No abrir enlaces ni descargar archivos de mensajes sospechosos.
- Si un sitio pide iniciar sesión después de haber estado caído, verificar que la dirección sea la correcta antes de ingresar datos.
- Ante un aviso de "cambio de contraseña" por correo, entrar al servicio escribiendo a mano su dirección oficial, sin usar el enlace recibido.
Qué hacer si administrás un sitio
La recomendación central fue actualizar PHP a una versión corregida lo antes posible. También conviene revisar plugins, temas y componentes externos, porque una plataforma al día puede seguir expuesta si alguno de sus agregados está desactualizado.
Si el sitio lo hizo un proveedor o está en un servicio externo, lo más práctico es consultar al soporte técnico qué versión de PHP usa y si ya aplicaron el parche de seguridad.
