Una falla crítica de PHP pone en riesgo a las ONG con WordPress en todo el mundo

Imagina una organización sin fines de lucro cuyo sitio se hizo en WordPress hace unos años. Lo armó una voluntaria, o alguien del equipo que ya se fue. El botón de donar funciona. Los plugins se actualizan solos, así que el sitio parece cuidado. Nadie ha entrado a la cuenta de hosting en años, y nadie sabe bien quién tiene la contraseña.

Ese es justo el tipo de sitio más expuesto hoy.

El 21 de octubre, PHP publicó correcciones de emergencia para dos fallas de seguridad críticas. PHP es el lenguaje de programación sobre el que funciona WordPress, y está detrás de unos 7 de cada 10 sitios web. Investigadores de Wiz y Calif encontraron las fallas y las llamaron PHP2Shell. Ambas permiten que un atacante ejecute su propio código en el servidor de un sitio con una sola solicitud, sin contraseña. Cada una tiene una calificación de gravedad de 9.2 sobre 10.

Los gobiernos lo trataron como una emergencia. Varios desconectaron sus propios sitios antes que arriesgarse a esperar la corrección.

Esto es lo que vas a encontrar:

• Qué tan grave es. Por qué los gobiernos desconectaron sus propios sitios.
• Qué arriesga una organización. Tu página de donativos, tus formularios y tu nombre.
• Por qué actualizar plugins no lo arregla. Dónde está el problema.
• Qué hacer esta semana. Cómo revisar tu sitio y qué preguntarle a tu hosting.

Los gobiernos desconectaron sus propios sitios

PHP es la capa que está debajo de un sitio WordPress. Cuando alguien visita una página, PHP la arma. Según W3Techs, PHP está detrás del 69.3% de los sitios cuya tecnología se puede identificar. Estas fallas están en PHP mismo, así que afectan a cualquier sitio que funcione con él, sin importar el tema o los plugins. Los investigadores demostraron ataques que funcionan contra WordPress.

Las agencias de seguridad de Reino Unido, Europa, Australia y Japón pidieron a las organizaciones actualizar de inmediato o desconectar sus sitios hasta poder hacerlo. Muchas no esperaron. La agencia nacional de ciberseguridad de Países Bajos bajó su propio sitio. El puerto de Róterdam, el portal del gobierno neerlandés y los cinco partidos políticos más grandes del país hicieron lo mismo. Finlandia apagó los servicios web públicos del gobierno como precaución. Francia desconectó los sitios de sus prefecturas. En Reino Unido se reportaron fuera de línea los sitios de los ayuntamientos de Edimburgo y Oxford y de la Policía Metropolitana.

Esas organizaciones tienen equipos de seguridad y presupuesto de TI. Una organización cuyo sitio nadie ha revisado en años está en una posición más débil.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Cualquier versión anterior de esas líneas está expuesta.

Los atacantes ya lo están intentando. Cloudflare detectó tráfico de ataque dirigido a sus clientes, con atacantes cambiando su código para burlar sus defensas. La empresa de seguridad watchTowr ha visto intentos de explotación en sus trampas. Al 21 de octubre, nadie había reportado una intrusión confirmada.

Tu página de donativos y la confianza de quienes te apoyan

Quien controla tu servidor controla tu sitio. Puede cambiar cualquier página, incluida la de donativos. Puede leer lo que el sitio guarda, como formularios de contacto, registros de voluntariado e inscripciones a eventos. Wiz encontró que una de las fallas puede exponer contraseñas y claves que el servidor tiene en memoria.

Para una organización, el daño va más allá del sitio. Imagina a una persona que da clic en “Donar” desde tu correo de fin de año y llega a una página que alguien más reescribió. O a una reportera local que encuentra tu sitio lleno de spam la semana de tu evento más importante. Arreglar el sitio toma un día. Explicárselo a tus donantes toma mucho más.

El momento también importa. La temporada de donativos de fin de año está a unas semanas, y es cuando tu sitio trabaja más.

Tus plugins pueden estar al día y tu sitio seguir expuesto

Casi todos los que tienen WordPress saben que hay que mantener al día los plugins y WordPress mismo. Esa costumbre no cubre esto. El problema está en la versión de PHP de tu servidor, y solo quien administra el servidor puede cambiarla. Wordfence, la empresa de seguridad para WordPress, advirtió que las actualizaciones automáticas no aplican esta corrección.

Una desarrolladora del núcleo de PHP, Gina Peter Banyard, lo dijo sin rodeos: aplicar las correcciones oficiales es la única defensa permanente. Cambiar configuraciones puede bajar el riesgo un tiempo. No lo elimina.

Los sitios más viejos son los de mayor riesgo. PHP 8.1 y anteriores ya no reciben actualizaciones regulares. Si tu sitio todavía usa una de esas versiones, planea la actualización ya.

Tres revisiones, unos diez minutos

1. Averigua tu versión de PHP. Entra a WordPress y ve a Herramientas, luego Salud del sitio, luego la pestaña Información. En Servidor verás la versión de PHP. Si nadie del equipo puede entrar, ese es tu primer hallazgo.
2. Compárala con las versiones corregidas. Lo que quieres es PHP 8.2.35, 8.3.36, 8.4.27 u 8.5.12, o una más nueva de la misma línea.
3. Pide a quien administra tu hosting que lo confirme. En un hosting administrado para WordPress, el proveedor controla PHP y muchos lo actualizan por ti. Varios ya publicaron avisos. WP Engine dice que agregó protección a nivel de red y está actualizando PHP. Kinsta, SiteGround y Pressable avisaron a sus clientes que no tienen que hacer nada. GoDaddy les pide a sus clientes revisar y actualizar su propia versión de PHP. No des por hecho que ya está. Manda a su soporte una sola pregunta: ¿nuestro sitio ya está en una versión de PHP corregida para CVE-2026-109618 y CVE-2026-109619? En un plan de hosting compartido, tú o la persona que ve tu sitio quizá tengan que cambiar la versión de PHP en el panel de control. Si un voluntario o un proveedor anterior administra el servidor, búscalo hoy.

Si tu sitio pasa por Cloudflare, su firewall ya bloquea las versiones conocidas de este ataque, incluso en el plan gratuito. Eso te da tiempo. No sustituye la actualización de PHP.

Si tu sitio está hecho en una plataforma como Webflow, Squarespace o Wix, no administras un servidor con PHP, así que no tienes nada que actualizar.

Si no sabes en qué funciona tu sitio o quién tiene las llaves, vale la pena averiguarlo antes de que empiece la temporada de donativos de fin de año. Agenda una llamada gratis de 30 minutos y te ayudamos a resolverlo.

Recibe los textos nuevos cuando salgan

Sin calendario fijo y sin plantilla de boletín. Una nota breve cuando haya algo que valga la pena leer, y nada más. No compartimos la lista.

Deja esto vacío Suscribirme