PHP2Shell golpea a España: el 12% de las empresas ya se ha visto afectado por dos fallos críticos

Dos fallos críticos en PHP, el lenguaje que mueve una parte enorme de la web, se están explotando de forma activa, y España no es una excepción. Según Check Point Research, el 12% de las empresas españolas ya se ha visto afectado por los ataques conocidos como PHP2Shell. El aviso, publicado el 31 de octubre de 2026, explica la urgencia: los detalles se filtraron antes de su divulgación oficial, y los atacantes no tardaron en aprovecharlos.

PHP está detrás de millones de sitios web, tiendas en línea y servicios de internet. Por eso, dos fallos graves en este lenguaje no se quedan en un servidor concreto: se extienden a todo lo que depende de él. El riesgo principal es que un atacante instale un código malicioso que le deje la puerta abierta de forma permanente.

Qué es PHP2Shell y por qué se está explotando ya

PHP2Shell es el nombre que se ha dado a dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Check Point Research señala que ambas están siendo atacadas activamente, lo que significa que no se trata de un riesgo teórico ni de una prueba de laboratorio. Hay atacantes reales intentando aprovecharlas ahora mismo contra servidores expuestos a internet.

El elemento que aceleró todo fue la filtración de los detalles antes de la divulgación oficial. Cuando esa información circula antes de que las organizaciones hayan tenido tiempo de parchear, la ventana de ataque se abre de par en par. Según Check Point, el 10% de las organizaciones de todo el mundo se ha visto afectado, con un pico de actividad a medianoche.

En los Países Bajos y en Finlandia, algunas webs gubernamentales se desconectaron por precaución antes que dejarlas expuestas. Cuando un gobierno prefiere apagar sus propios sitios antes que arriesgarse, la gravedad del problema queda bastante clara.

El impacto en España: un 12% de empresas afectadas

En España, el impacto se sitúa en el 12%, según Check Point Research, en línea con Suiza, Polonia, Chequia y el Reino Unido. El mapa mundial está encabezado por Hungría, con un 38%, seguida de Dinamarca, con un 32%, y Austria, con un 28%.

Los sectores más expuestos a nivel internacional son las telecomunicaciones, con un 20%, y la educación, con un 18%. En España, esas entidades deben priorizar la revisión de sus servidores, porque gestionan infraestructuras críticas y enormes volúmenes de datos en entornos PHP.

Por qué actualizar WordPress no basta

Uno de los mensajes más importantes del aviso es que actualizar un gestor de contenidos como WordPress no basta. En este caso el fallo está un nivel más abajo: PHP es el motor que hace funcionar WordPress y muchas otras aplicaciones, y si el motor no se actualiza, el problema sigue ahí aunque la aplicación esté en su última versión.

Check Point indica que es indispensable actualizar el motor de PHP a nivel de servidor, a las versiones 8.2.35, 8.3.36, 8.4.27, 8.5.12 o superiores, según la rama que se esté usando. Si el servidor está en manos de un proveedor de hosting externo, la empresa debe confirmar con ese proveedor si el parche ya se ha aplicado. No basta con suponerlo.

Gabriela Zornoza, experta en seguridad en entornos híbridos en Check Point Software, señala que, cuando los gobiernos eligen deshabilitar sus propios sitios en lugar de dejarlos expuestos, eso da una idea clara de la gravedad de la amenaza. También advierte de que actualizar no siempre es ágil ni sencillo por las dependencias existentes, y de que, ante la velocidad de ataque que permite la inteligencia artificial, la seguridad reactiva ha dejado de ser una opción viable.

Qué deben hacer ahora las empresas

Check Point Research detalla una serie de acciones urgentes para las organizaciones. La primera es hacer un inventario exhaustivo de cada instancia de PHP, incluyendo contenedores y productos de terceros. La lógica es directa: no se puede proteger un sistema que no se sabe que existe. Muchas empresas descubren, al hacer este repaso, servidores olvidados, entornos de pruebas expuestos o aplicaciones de proveedores que también usan PHP.

El segundo paso es parchear PHP directamente en el servidor, empezando por los sistemas expuestos a internet, que son los que un atacante puede alcanzar sin otra barrera. Después, hay que reiniciar y verificar los servicios para comprobar que operan con la versión corregida. Un parche aplicado pero no verificado es una falsa sensación de seguridad.

Si no se puede actualizar con rapidez, Check Point aconseja restringir o desconectar temporalmente el servicio vulnerable, y añadir capas de protección, como el bloqueo de ataques y la limitación de la comunicación con la red corporativa, para evitar que una brecha se propague.

Señales de que un servidor ya puede estar comprometido

Instalar el parche no elimina el código malicioso que un atacante ya haya podido dejar. Por eso, Check Point recuerda la importancia de revisar el servidor en busca de indicios de compromiso, incluso después de actualizar. Entre las señales de alarma destacan las interrupciones inexplicables en el servicio web, la aparición de archivos PHP nuevos o desconocidos, y las solicitudes inusuales a los servidores.

Otras señales son la ejecución de comandos del sistema por parte de los procesos del servidor y las conexiones hacia direcciones externas desconocidas. Ninguna confirma un ataque por sí sola, pero juntas justifican una revisión a fondo por parte del equipo de seguridad o del proveedor.

Para el usuario corriente, el fallo se corrige en el servidor, no en el teléfono. Si un servicio avisa de un incidente, conviene cambiar la contraseña y desconfiar de correos extraños en los días siguientes, porque los datos robados suelen reutilizarse en fraudes.

Frequently Asked Questions

¿Qué es PHP2Shell en pocas palabras?

Es el nombre de dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, atacadas de forma activa. Un atacante puede intentar dejar un acceso permanente en el servidor, por eso urge actualizar PHP a una versión corregida.

¿Mi web está protegida si tengo WordPress actualizado?

No necesariamente. WordPress funciona sobre PHP, y si el motor PHP del servidor sigue en una versión vulnerable, el fallo permanece aunque WordPress esté al día. Hay que actualizar PHP en el servidor a las versiones 8.2.35, 8.3.36, 8.4.27, 8.5.12 o superiores, y verificar que el servicio opera con la versión corregida.

¿Qué debe hacer una empresa si no puede parchear de inmediato?

Debe restringir o desconectar temporalmente el servicio vulnerable, añadir capas de protección como el bloqueo de ataques, y revisar el servidor en busca de archivos PHP desconocidos o conexiones externas extrañas. Parchear después sigue siendo obligatorio.