PHP2Shell: el fallo que puede tomar tu web sin pedir permiso y ya hay intentos de ataque

Dos fallos en PHP pueden permitir que alguien tome el control de un servidor sin necesidad de contraseña. Y el lenguaje está detrás de cerca del 70% de las webs del mundo.

Los agujeros se llaman PHP2Shell. Permiten a un atacante ejecutar su propio código en el servidor que aloja una página o una aplicación. Desde ahí puede modificar el sitio o robar datos. Así de simple, y así de peligroso.

Para entenderlo sin tecnicismos: piensa en un edificio con miles de inquilinos. Si alguien encuentra una llave maestra que abre todas las puertas, no necesita forzar ninguna cerradura. Eso es lo que permite este fallo, y el problema no se limita a versiones antiguas: afecta a un amplio abanico de configuraciones.

Moncho Padrón, de Automattic, la empresa detrás de WordPress.com, ha reconocido que el riesgo no estuvo solo en el fallo, sino en el calendario. La información se filtró antes de que se publicara el parche y, según sus palabras, hubo intentos de explotación e incluso pruebas de concepto. Eso no significa que hubiera ataques masivos confirmados, pero sí que los atacantes empezaron a moverse enseguida.

Otro dato preocupante: según WordPress.org, más de un tercio de las webs de WordPress siguen funcionando con versiones de PHP que ya no reciben soporte oficial. Es decir, sin parches disponibles para esos fallos.

¿Qué significa esto para ti? Si tienes una tienda online, un blog, la web de tu negocio o de tu asociación, tus datos y los de tus clientes pueden estar en riesgo. Y no siempre depende de ti: cada sitio funciona sobre la infraestructura de su proveedor de hosting. Si tu proveedor no actualiza, tú quedas expuesto aunque hayas hecho todo bien.

Qué hacer ahora: pregunta a tu proveedor de hosting qué versión de PHP usa y si ha aplicado el parche. Si gestionas tu propio servidor, actualízalo cuanto antes. Y si tu web lleva años sin tocarse, revísala: es el tipo de sitio que más se olvida y más se ataca.

Lo que viene es una carrera contrarreloj. Padrón advierte de que la inteligencia artificial está acortando el tiempo entre que se publica un fallo y que alguien lo explota. Los servidores que nadie mantiene activamente serán los primeros en caer. Si tienes una web, este es el momento de comprobar que sigue en pie y al día.