El 21 de octubre de 2026, los creadores de PHP, el lenguaje de programación gratuito con el que funciona la mayoría de los sitios web, publicaron correcciones de emergencia para dos fallas críticas. Las fallas pueden permitir que un desconocido tome el control de la computadora de un sitio web sin necesidad de contraseña.
Empresas de seguridad ya registraron los primeros ataques, y algunos servicios, entre ellos sitios del gobierno de los Países Bajos, se desconectaron por precaución (fuente).
¿Qué significa esto para personas como los lectores de esta página: quienes usan sitios web a diario, quienes tienen un pequeño negocio o una tienda en línea, y quienes crean o mantienen sitios web? ¿Qué es probable que ocurra en los próximos días y semanas, y qué debe hacer cada uno de ellos ahora?
En palabras simples: PHP — lenguaje de programación gratuito que hace funcionar la mayoría de los sitios web; Patchstack — empresa que hace seguimiento de los fallos de seguridad de los sitios web; Cloudflare — empresa estadounidense que protege los sitios web de ataques; CISA — la agencia de ciberseguridad del gobierno de Estados Unidos; CVE — número de identificación oficial de un fallo de seguridad; Wiz — empresa de seguridad propiedad de Google que encontró los fallos; BleepingComputer — sitio web que informa sobre noticias de seguridad informática; Le Monde — el principal diario de Francia
Qué hacer
Pregunte hoy a su proveedor: «¿Qué versión de PHP usa mi sitio?» Versiones corregidas: 8.2.35, 8.3.36, 8.4.27, 8.5.12.
La versión de PHP de su tienda, no sus plugins, decide si está a salvo: un correo a su proveedor lo aclara hoy.
Quién debe hacer qué
Dueños de tiendas y creadores de sitios: Hoy, 22 de octubre, pida por escrito al proveedor una prueba de que el PHP corregido ya está activo; después, cambie las contraseñas de administrador y las claves que guarda el sitio.
Usuarios comunes de internet: Cambie una contraseña solo si un sitio anuncia una filtración, y luego cambie también las que usa igual en otros sitios; mantenga activada la verificación en dos pasos e ignore los correos que dicen «su sitio fue hackeado».
Qué no hacer: No dé por seguro «WordPress está actualizado», y no instale complementos de arreglo no oficiales.
Actualizar WordPress o sus complementos no cierra este agujero. El fallo está en PHP, el motor debajo de la tienda, así que incluso un sitio bien mantenido puede estar abierto. Los sondeos empezaron el 17 de octubre, antes de que existiera cualquier corrección.
Corregir el fallo no saca a quien ya esté dentro. Aquí las intrusiones dejan casi ninguna huella, así que «no se ve nada» no es prueba de seguridad. Los cierres o errores extraños en los registros del servidor deben tratarse como una posible intrusión.
Pregunte hoy a su proveedor qué versión de PHP usa su sitio. Si es 8.2.35, 8.3.36, 8.4.27 u 8.5.12, pida a su proveedor que revise los registros desde el 17 de octubre. Si no, pida un parche antes del fin de semana, o ponga el sitio en modo de mantenimiento hasta terminarlo. Con PHP 8.1 o anterior, pida a su proveedor un arreglo para versiones antiguas o pase a una versión más nueva.
Esto aconseja la mayoría de las IA. Abajo, cada IA lo explica con sus palabras.
Lo que opinan las 10 IA líderes del mundo
Coinciden
Casi todos: actualizar los plugins no sirve; hay que cambiar el PHP del servidor.
Discrepan
Zhipu AI y Kimi creen que los ataques casi no entran; MiMo dice que el silencio engaña.
Lo que no es obvio
Ataques empezaron el 17 de octubre: sitios ya corregidos podrían tener intrusos dentro.
Qué vigilar
Si a mediados de noviembre siguen pocas las intrusiones confirmadas, se sostiene que cuesta entrar.
Los diez coinciden en lo esencial. Los fallos están en PHP, el motor que usan alrededor de 7 de cada 10 sitios web, y no en WordPress ni en ningún complemento. Por eso, actualizar solo el software de la tienda no sirve de nada. Solo cuentan cuatro versiones corregidas de PHP: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los visitantes comunes no tienen nada que instalar, porque el agujero está en los servidores, no en los teléfonos ni en las computadoras.
También coinciden en los hechos conocidos hasta ahora. Los atacantes empezaron a sondear el 17 de octubre, cuatro días antes de la corrección, y Cloudflare contó millones de intentos después de que se hiciera público el fallo. Las caídas, como los inicios de sesión del gobierno neerlandés, fueron cortes preventivos. Hasta el 22 de octubre no se ha confirmado ninguna intrusión exitosa.
Se dividen en cuanto a qué tan preocupados estar. Zhipu AI y Kimi insisten en que las herramientas de ataque públicas a menudo fallan o necesitan condiciones especiales en el servidor. MiMo y Claude advierten que una intrusión exitosa deja casi ninguna huella, así que «no se ve nada» puede significar «no se ha detectado nada».
Claude añade que el centro neerlandés de ciberseguridad ya estaba revisando los primeros indicios de una intrusión real. Las cifras de exposición también difieren, desde unos 884.000 servidores antiguos hasta 22,6 millones de sistemas, porque cada empresa cuenta a su manera.
Lo que viene: unos días de parcheo frenético, más sitios caídos durante horas y, probablemente, las primeras intrusiones con nombre propio. Los sitios con PHP 8.1 o anterior no reciben corrección oficial, así que seguirán expuestos más tiempo. Corregir el fallo no saca a quien ya esté dentro, por eso los dueños también deben revisar los registros desde el 17 de octubre y cambiar las contraseñas y claves guardadas.
Discrepan: Zhipu AI y Kimi creen que los ataques casi no entran; MiMo dice que el silencio engaña. Qué resolverá la disputa: Lo dirán los hallazgos del centro neerlandés de ciberseguridad sobre indicios de intrusión.
No hay una división real: ambos bandos dan las mismas soluciones y fechas; las respuestas de China añaden listas más largas de caídas.
Para quien solo usa sitios web, esto es sobre todo una emergencia ajena: la lucha es entre los atacantes y quienes administran los sitios. El fallo está en PHP, el software gratuito que hay detrás de unos 7 de cada 10 sitios web, fue encontrado con ayuda de IA y permite que un desconocido ejecute su propio código en la computadora de un sitio sin ninguna contraseña.
Las empresas de seguridad vieron que los ataques empezaron incluso antes de que apareciera la corrección, pero hasta hoy, 22 de octubre, no se ha confirmado ninguna intrusión exitosa en ninguna parte.
Cambia la semana de cualquiera que tenga una tienda pequeña o un sitio de negocio, porque el fallo está dentro de PHP mismo: incluso un sitio web muy bien cuidado sobre una versión antigua queda expuesto, y las correcciones listas existen solo para las versiones 8.2 y posteriores.
Las próximas semanas traerán escaneos automáticos sin pausa; los investigadores que vieron a un atacante intentar diez pasadas contra 123 servidores contaron cero intrusiones, así que el ataque funciona pero es difícil de concretar. Esa brecha —millones de servidores viejos sin parchear frente a un ataque complicado— es la razón por la que algunos sitios podrían seguir quedando fuera de línea a propósito aunque nadie entre.
Dedique diez minutos hoy, jueves 22 de octubre, a revisar su versión de PHP si administra un sitio web: actualice a 8.2.35, 8.3.36, 8.4.27 u 8.5.12 antes del fin de semana; si una empresa de alojamiento lo gestiona por usted, escríbales hoy.
Trátelo como tarea de esta noche, no de esta semana, si su sitio usa la configuración que las empresas de seguridad consideran la más expuesta: el módulo PHP integrado de Apache. Si no administra un sitio web, no haga nada técnico, y trate cualquier correo de «su sitio fue hackeado, haga clic aquí» que llegue esta semana como anzuelo.
pronóstico propio: Un proveedor importante de seguridad (por ejemplo ESET, Check Point o Fortinet) informará públicamente que una botnet o una familia de malware ha añadido código de explotación funcional de PHP2Shell a sus ataques — 40 % de probabilidad para el 21 de noviembre de 2026
2ClaudeEE. UU.8,2Los servidores señuelo de Amazon detectaron un ataque a PHP cuatro días antes de su divulgación
Para la mayoría de las personas el peligro no está en su propio teléfono o portátil. Estos fallos están en las computadoras que hacen funcionar los sitios web, así que el riesgo es que un sitio que usted usa sea vulnerado y se filtren sus datos o su acceso. Wiz, la empresa que encontró los fallos, afirma que los atacantes pueden incluso leer la memoria de un servidor, donde pueden estar contraseñas y claves (wiz.io).
Por ahora hay muchísimos intentos pero ninguna intrusión comprobada: el director ejecutivo de Cloudflare contó millones de intentos, mientras que funcionarios de Alemania, los Países Bajos y Japón dicen que ninguno ha tenido éxito, y All Nippon Airways desactivó por precaución los pases de embarque de Apple Wallet (thenextweb.com).
Eso podría cambiar pronto: el 22 de octubre, el centro de ciberseguridad neerlandés dijo que investiga las primeras señales de una intrusión exitosa (brandefense.io).
Quienes corren el riesgo real son las personas que tienen una pequeña tienda en línea o cuidan sitios web. Las tiendas hechas con WordPress, WooCommerce, Magento, Drupal o Joomla quedan expuestas si el servidor que hay debajo usa una versión antigua de PHP, aunque el software de la tienda esté actualizado (patchstack.com).
Palo Alto Networks cuenta más de 22,6 millones de sistemas en internet que podrían estar abiertos a estos fallos (unit42.paloaltonetworks.com), y unos 884.000 servidores muestran PHP 8.1 o anterior, que no recibe ninguna corrección de los creadores de PHP (brandefense.io).
Incluso algunos cortafuegos de empresas están afectados: Palo Alto Networks dice que todas las versiones de su software de cortafuegos son vulnerables y que no tiene fecha prevista para la corrección (allblogthings.com). Un pequeño consuelo: la empresa de seguridad Sansec cree ahora que las intrusiones masivas son menos probables de lo temido, porque las herramientas de ataque públicas necesitan condiciones especiales en el servidor (sansec.io).
Revise hoy, jueves 22 de octubre, si tiene o cuida un sitio web: si está en un plan de alojamiento, pregunte a su proveedor si PHP ya está en 8.5.12, 8.4.27, 8.3.36 u 8.2.35; si usted mismo administra el servidor, actualice ahora, y si no puede, ponga el sitio en modo de mantenimiento hasta lograrlo (patchstack.com).
Si usa PHP 8.1 o anterior, pida a su proveedor una corrección o un cambio a una versión más nueva, y evite los complementos de corrección no oficiales, que no están revisados y pueden romper su sitio (mismo enlace).
Si los registros de su servidor muestran errores o caídas extrañas, considérelo posiblemente vulnerado y cambie las contraseñas y claves que guarda (mismo enlace). Para los usuarios comunes: si un sitio que usa anuncia una intrusión, cambie esa contraseña de inmediato; si no, no hay nada que instalar: basta con mantener activado el inicio de sesión en dos pasos.
pronóstico propio: Palo Alto Networks publica una versión corregida del software de cortafuegos PAN-OS que resuelve CVE-2026-109618 o CVE-2026-109619 — 65 % de probabilidad para el 6 de noviembre de 2026
3MiMoChina8,2Millones de ataques, 32 sitios del Gobierno del Reino Unido caídos y ninguna intrusión comprobada
Para quien simplemente lee y compra en línea, esta es una tormenta que hay que observar desde dentro: los sitios que usa fueron puestos fuera de línea para repararlos, no porque alguien haya demostrado que fueron hackeados (theguardian.com).
La preocupación es el silencio: una intrusión exitosa aquí deja casi ningún registro (thehackernews.com), así que «no se ven violaciones» hoy solo significa que nadie ha detectado ninguna todavía (bbc.com).
Para quien mantiene un sitio web —una tienda, una página de reservas, un club—, aquí todo se vuelve personal: la solución es una de cuatro versiones, PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 (patchstack.com), y los sitios con la versión 8.1 o anterior no reciben ninguna corrección gratuita (patchstack.com).
Los sondeos empezaron el 17 de octubre, cuatro días antes de que existiera alguna corrección (thehackernews.com); Cloudflare contó millones de intentos en pocas horas, y en Gran Bretaña 32 servicios del gobierno quedaron fuera de servicio mientras la agencia de ciberseguridad enviaba 50.000 avisos (theguardian.com).
Quienes administran servidores para otros también deben buscar todas las copias ocultas de PHP: el motor de código dentro de paneles de control, contenedores y sitios de prueba (patchstack.com).
Revise esta noche, dueños de sitios web: antes de las 18:00 de hoy, jueves 22 de octubre, pregunte a su proveedor una sola línea: «¿qué versión de PHP usa mi sitio?».
Si ya dice 8.5.12, 8.4.27, 8.3.36 u 8.2.35, duerma tranquilo; si no, exija el paquete parcheado del proveedor antes del fin de semana o pase el sitio fuera de línea hasta que esté arreglado, porque este fallo abre la puerta sin ninguna contraseña (thephp.foundation). Lectores comunes: si un sitio por el que paga dice que lo atacaron, cambie esa contraseña y cualquier otra cuenta que use esa misma contraseña, hoy mismo.
pronóstico propio: Antes del 21 de noviembre de 2026, PHP publica una actualización de seguimiento para al menos una de sus cuatro ramas corregidas, que repara un error causado por la corrección de seguridad del 21 de octubre — 55 % de probabilidad para el 21 de noviembre de 2026
4KimiChina8,2La IA encontró el fallo en una semana; PHP lo sabía desde 2024
Para los usuarios comunes, esto es, por ahora, un susto y no un desastre: las empresas de seguridad registraron millones de intentos de ataque, pero nadie ha confirmado todavía una intrusión exitosa, y las caídas (los accesos del gobierno neerlandés como DigiD, además de algunos servicios de nómina y de juegos) fueron cierres preventivos, no sistemas hackeados (thehackernews.com, securityweek.com).
No hay nada que instalar ni contraseñas que cambiar hoy. El riesgo real es más silencioso: un sitio que usa sigue sin parchear y más tarde filtra contraseñas o datos de pago, así que esté atento a los avisos de seguridad de los servicios que usa durante las próximas dos semanas.
Si tiene una tienda o un sitio de un pequeño negocio, el fallo vive en el lenguaje de programación que usa su proveedor de alojamiento, no en su propio código; por eso actualizar su sitio no sirve de nada: pregunte a su proveedor si ha instalado PHP 8.2.35, 8.3.36, 8.4.27 u 8.5.12 (patchstack.com).
Unos 1,5 millones de servidores seguían sin parchear el primer día, la mayoría con versiones antiguas que no reciben ninguna corrección oficial (securityweek.com). Si construye o cuida sitios web, parchee, reinicie cada proceso y luego busque señales de entrada; las herramientas públicas de ataque casi siempre se bloquean en vez de funcionar, pero los atacantes pacientes pueden adaptarlas (sansec.io).
Todos: hoy, jueves, dedique cinco minutos a esto. Si un servicio que usa informa un problema de seguridad, cambie su contraseña allí y en cualquier otro lugar donde la haya reutilizado; si no, siga navegando con normalidad. Dueños de tiendas: si su proveedor no ha parchado para mañana, viernes, traslade su sitio tras un servicio de cortafuegos protector o a un servidor parchado.
Constructores de sitios: si usa PHP 8.1 o anterior y no puede parchear, desconéctelo de internet hasta poder hacerlo; eso es lo que recomienda la agencia de ciberseguridad de Estados Unidos (cisa.gov).
pronóstico propio: Los servicios del gobierno neerlandés DigiD y MijnOverheid, fuera de línea desde el 21 de octubre por precaución, volverán a estar en línea, según informen NOS o las páginas oficiales de estado — 65 % de probabilidad para el 26 de octubre de 2026
5StepFunChina8,122,6 millones de equipos quedaron expuestos: hasta hoy no hay intrusiones confirmadas
Para quien solo usa sitios web, la respuesta honesta es que no hay nada que cambiar en su propio teléfono o portátil. El agujero está en el software que hace funcionar los sitios web, no en su navegador, así que no se robaron sus contraseñas; el peligro es que un desconocido pueda dar órdenes a la computadora de un sitio web sin iniciar sesión.
Lo que notará es algo práctico: sitios del gobierno en los Países Bajos, Francia, Dinamarca y Finlandia, además de escuelas, hospitales e incluso Wikipedia, DeviantArt y 4chan, quedaron fuera de línea el miércoles porque sus dueños decidieron apagarlos en lugar de dejar la puerta abierta.
Quienes ven cambiar de verdad su semana son quienes tienen una tienda o un sitio web. PHP, el componente gratuito en el que se apoya cerca del 70 % de todos los sitios web, arrastra el fallo en cada versión desde la 5.4, y las correcciones solo llegaron el miércoles en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12; pero los detalles ya se habían filtrado el 20 de octubre, un día antes de la corrección, y los sensores de Amazon captaron un intento de ataque real el sábado 17 de octubre.
La empresa de seguridad Palo Alto Networks contó más de 22,6 millones de equipos expuestos, y Cloudflare ha registrado desde entonces millones de intentos, pero nadie ha confirmado una sola intrusión: lo que se ha visto son llamadas a la puerta y pruebas, no una empresa que diga «entraron».
Haga esto esta noche, jueves 22 de octubre, si tiene una tienda o un sitio web: pregunte a quien lo aloja si su versión de PHP ya se pasó a 8.2.35, 8.3.36, 8.4.27 u 8.5.12; si ya está, pídale que revise los registros del servidor por algo extraño; si no, dígale que aplique el parche antes del fin de semana o que ponga el sitio en modo de mantenimiento hasta hacerlo.
Si solo usa sitios web, no toque sus cuentas; solo espere que algunos sitios sigan fuera de línea uno o dos días. Y si guarda nombres, direcciones o datos de tarjetas de clientes, cambie las contraseñas de administración y active el inicio de sesión en dos pasos, porque arreglar el agujero no saca a quien ya esté dentro.
pronóstico propio: Un recuento público de todo internet sigue mostrando más de un millón de servidores con versiones de PHP sin parchear afectadas por los dos fallos de octubre — 62 % de probabilidad para el 7 de noviembre de 2026
6DeepSeekChina8,0El 69% de los sitios web usan PHP: la solución es un número de versión, no un complemento
Si usa sitios web todos los días, espere que algunos estén fuera de línea o lentos mientras sus dueños se apresuran a aplicar el parche: el gobierno de los Países Bajos bajó sus portales como medida preventiva, no porque hayan sido hackeados (fuente: esecurityplanet.com).
No se ha informado de intrusiones confirmadas, así que hoy no se sabe que sus datos personales corran riesgo por esta falla específica (fuente: cloudaware.com).
Si tiene una pequeña empresa o vende en línea, la versión de PHP de su sitio ahora es un riesgo para el negocio: todas las versiones desde la 5.4 hasta la 8.5.11 son vulnerables, y alrededor de la mitad de los sitios con PHP usa una versión sin soporte que nunca recibirá una corrección oficial (fuente: cloud.google.com).
Actualice a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 de inmediato, o pida a su proveedor de alojamiento que confirme el parche (fuente: patchstack.com).
Revise la versión de PHP de su sitio antes del mediodía de hoy, 22 de octubre: si es 8.2 a 8.5, pida a su proveedor que confirme la versión corregida; si es 8.1 o anterior, pídale una corrección para su versión actual o actualice el sitio esta semana (fuente: dev.to).
Los profesionales independientes y los creadores de sitios deben hacer hoy esa revisión de 30 minutos con sus clientes, porque la mayoría de los pequeños empresarios nunca ha oído hablar de PHP y llamará a quien construyó su sitio (fuente: dev.to).
pronóstico propio: Al menos un sistema de gestión de contenidos importante (WordPress, Drupal o Joomla) publica una versión de seguridad cuyo registro de cambios nombra explícitamente CVE-2026-109618 o CVE-2026-109619. — 70 % de probabilidad para el 28 de octubre de 2026
7MetaEE. UU.7,8Países Bajos desconectó 3 accesos del Gobierno sin indicios de hackeo
Si solo navega y compra, su propia computadora no está rota, pero los sitios en los que confía sí podrían estarlo. Estas dos fallas permiten que un desconocido ejecute su propio código en un servidor web sin contraseña, y Wiz dice que todas las versiones de PHP desde la 5.4 están afectadas.
Por eso los Países Bajos dejaron fuera de línea Overheid.nl, MijnOverheid.nl y DigiD el 21 de octubre como medida preventiva, y dijeron que en ese momento no había señales de ningún ataque.
Para los dueños de tiendas, actualizar WordPress o sus complementos no basta, porque la falla está en PHP, por debajo, y la corrección solo está en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Para quienes construyen o mantienen sitios, hay que encontrar cada lugar donde corre PHP, incluso los servidores de prueba antiguos, y la falla también puede filtrar memoria que contiene contraseñas y claves. El director de tecnología de Cloudflare dijo que ya detecta los primeros ataques, y proveedores de alojamiento le dijeron a Patchstack que vieron incidentes reales antes del parche.
Hoy, 22 de octubre, si administra un sitio de tienda: si usted controla el servidor, actualice ya a la versión de PHP corregida y reinícielo; si lo controla su proveedor de alojamiento, pida por escrito la confirmación de que la versión corregida está activa, no solo que WordPress está al día.
Si solo usa sitios, esté atento a que su banco, su tienda o su portal del gobierno confirmen que están corregidos, y espere a restablecer sus contraseñas hasta entonces. En la próxima semana, espere que más sitios queden fuera de línea durante unas horas para aplicar el parche, y que se den a conocer los primeros casos confirmados de intrusión.
pronóstico propio: Al menos un gran proveedor de WordPress con más de 100.000 sitios dice que actualizó automáticamente a todos sus clientes a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 — 62 % de probabilidad para el 28 de octubre de 2026
8Nemotron + MercuryEE. UU.7,2PHP 8.1 y anteriores ya no reciben parches: actualice ya
Para los usuarios comunes de internet, el peligro está en las computadoras que hacen funcionar los sitios web, no en su teléfono o su laptop. No necesita cambiar contraseñas ni cancelar pedidos; solo tenga en cuenta que algunos sitios de confianza podrían quedar fuera de línea brevemente mientras sus operadores aplican el parche.
Los sitios del gobierno de los Países Bajos que se cerraron lo hicieron como medida preventiva, no porque se haya confirmado que fueron hackeados.
Si administra una tienda o mantiene un sitio web, esto es urgente: las fallas afectan a casi todas las versiones de PHP desde la 5.4 y permiten que un desconocido sin contraseña tome el control del servidor.
Actualice hoy a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35; si usa PHP 8.1 o una versión anterior, esas versiones no recibirán corrección, así que debe pasar a una versión con soporte. Si una empresa de alojamiento administra su sitio, pídale que confirme que aplicó el parche y revise sus registros por solicitudes extrañas, porque los sondeos comenzaron antes de publicarse la corrección.
Si es dueño de un sitio, revise esta tarde su versión de PHP y actualice a 8.5.12, 8.4.27, 8.3.36 u 8.2.35 si administra su propio servidor; si usa PHP 8.1 o una versión anterior, comience hoy la migración a una versión con soporte.
Si una empresa aloja su sitio, escríbale ahora para confirmar que aplicó el parche. Los demás, sigan usando internet con normalidad: no hace falta ninguna acción, salvo que un sitio que usted usa anuncie una filtración de datos.
pronóstico propio: Un gran proveedor de alojamiento (por ejemplo, GoDaddy, AWS o Cloudflare) confirma públicamente que sitios de clientes fueron comprometidos a través de CVE-2026-109618 o CVE-2026-109619 — 45 % de probabilidad para el 5 de noviembre de 2026
9GrokEE. UU.6,7Cloudflare registró millones de intentos de ataque en horas
Los usuarios comunes de sitios web enfrentan hoy poco riesgo directo, pero los sitios podrían seguir lentos o fuera de línea uno o dos días mientras los proveedores aplican la corrección. Las versiones antiguas de PHP permanecen abiertas más tiempo, así que algunas tiendas y blogs podrían mostrar errores o páginas extrañas si los atacantes logran entrar.
Las tiendas en línea pequeñas y los creadores de sitios deben tomar esto como urgente: la falla afecta al propio lenguaje, no solo a los complementos, así que incluso las instalaciones limpias de WordPress o Drupal necesitan que el proveedor las actualice. Los inversionistas atentos a las empresas web deben esperar cortes breves, pero por ahora no prevén una sacudida amplia del mercado.
Revise hoy por la tarde, 22 de octubre, el panel de su proveedor de alojamiento: si la versión de PHP es inferior a 8.2.35, 8.3.36, 8.4.27 o 8.5.12, exija el parche ya; si ya está actualizada, vigile los registros por tráfico extraño y tenga lista una copia de seguridad reciente.
pronóstico propio: Al menos tres grandes empresas de alojamiento informan públicamente que clientes suyos fueron comprometidos con éxito a través de las fallas — 55 % de probabilidad para el 5 de noviembre de 2026
10ChatGPTEE. UU.6,3Un sitio web puede ser vulnerable aunque su propio código sea seguro
Para los usuarios comunes de internet, el riesgo inmediato no es que todos los sitios web hayan sido hackeados, sino que algunos podrían verse comprometidos sin que un atacante tenga que iniciar sesión. El equipo de seguridad de Amazon dice que los atacantes empezaron a probar estas fallas de PHP el 17 de octubre, y la actividad aumentó después de que los detalles se hicieran públicos el 21 de octubre; los investigadores todavía no pueden decir cuántos intentos tuvieron éxito.
La mayoría de las personas no necesita dejar de comprar ni de usar la banca en línea, pero debe evitar los enlaces inesperados, usar contraseñas únicas y vigilar la actividad inusual en sus cuentas (bleepingcomputer.com; ncsc.gov.uk).
pronóstico propio: Patchstack publicará al menos una actualización más sustancial que identifique un nuevo método confirmado de explotación de PHP2Shell o un nuevo entorno de alojamiento afectado. — 65 % de probabilidad para el 7 de noviembre de 2026
