Qué ha pasado
El equipo de PHP ha publicado actualizaciones urgentes para dos vulnerabilidades a las que se ha dado una puntuación de 9,2 sobre 10, es decir, críticas. Las dos permiten a un atacante ejecutar sus propias órdenes en el servidor donde está alojada una web, sin necesidad de usuario ni contraseña.
Lo que lo hace más urgente: según el propio proyecto PHP, ya se han detectado ataques que aprovechaban estos fallos antes de que existiera el parche. INCIBE-CERT, el equipo de respuesta de INCIBE, actualizó su alerta el 21 de octubre.
¿Te afecta?
Probablemente sí, si tu empresa tiene web. WordPress, WooCommerce, PrestaShop, Joomla y muchas webs hechas a medida funcionan con PHP. Están expuestas las versiones anteriores a estas:
- PHP 8.5 anterior a la 8.5.12
- PHP 8.4 anterior a la 8.4.27
- PHP 8.3 anterior a la 8.3.36
- PHP 8.2 anterior a la 8.2.35
Las versiones 8.1, 8.0 y 7.4 ya no reciben actualizaciones normales. Si tu web sigue en alguna de ellas, el problema va más allá de este fallo: está funcionando sobre una base que ya nadie mantiene.
Si tu web está en un alojamiento compartido, lo normal es que el proveedor actualice PHP por su cuenta. Pero «lo normal» no es «seguro»: conviene confirmarlo.
Qué hacer hoy
- Pregunta qué versión de PHP usa tu web. Si la gestiona una agencia, un informático o tu proveedor de hosting, envíales un mensaje corto: «¿Tenemos PHP actualizado a la versión corregida de octubre?». Si tienes acceso al panel de tu hosting, la versión suele aparecer en el apartado de PHP.
- Si no está actualizada, que se actualice ya. Antes de cambiar la versión, haz una copia de seguridad completa de la web y la base de datos. Si la web usa PHP 8.1 o anterior, pide un plan para migrarla a una versión con soporte.
- Revisa que nadie haya entrado. Fíjate en usuarios administradores que no reconozcas, archivos nuevos en la web, redirecciones extrañas o avisos de Google sobre tu sitio. Si ves algo raro, no borres nada y pide ayuda: las pistas sirven para saber qué ha pasado.
Si no sabes a quién preguntar o tu web la hizo alguien con quien ya no tienes contacto, es buen momento para que alguien la revise. Una web desatendida es una de las puertas de entrada más habituales en las pymes.
¿Quieres saber cómo está tu empresa?
Con tu autorización, revisamos desde fuera tu web, tu correo y si tu dominio aparece en filtraciones. Gratis, sin tocar tus sistemas y con el resultado explicado en una llamada de 30 minutos.
Pedir mi análisis gratuito