El 21 de octubre se revelaron dos vulnerabilidades críticas en PHP, el lenguaje de scripting que utilizan muchos sitios web y servicios online: CVE-2026-109618 y CVE-2026-109619. Los atacantes pueden aprovecharlas para ejecutar comandos de forma remota en cualquier servidor que utilice PHP, sin necesidad de autenticación. El exploit ha recibido el nombre de PHP2Shell.
El equipo de seguridad de PHP anunció una actualización de emergencia el 20 de octubre y publicó los parches que corrigen las vulnerabilidades al día siguiente.
Ya hemos analizado los detalles técnicos de estas vulnerabilidades y explicado qué deben hacer las empresas y los administradores de servidores. Es posible que pasaras por alto esa noticia porque no administras ningún servidor, pero, por desgracia, el problema no afecta únicamente a las empresas.
Casi el 70 % de los sitios web utilizan PHP, incluidos servicios que usamos a diario: wikis, tiendas online, dispositivos inteligentes con interfaces web, sistemas domésticos de almacenamiento conectado a la red (NAS), controladores de hogares inteligentes y mucho más.
Hoy explicamos cómo pueden afectarte personalmente estas vulnerabilidades y qué puedes hacer para reducir los riesgos.
Cómo pueden afectar estas vulnerabilidades a los usuarios domésticos
Robo de cuentas y datos personales
La vulnerabilidad permite a un atacante robar tokens de autenticación de la memoria del servidor. Estos tokens funcionan básicamente como pases electrónicos que indican a un sitio web que el usuario ya ha iniciado sesión. Como resultado, un atacante podría acceder a la cuenta de otra persona sin introducir una contraseña ni un código de autenticación de dos factores, poniendo en riesgo mensajes, documentos, direcciones de entrega, historiales de pedidos y otra información confidencial.
Pérdida de archivos en dispositivos domésticos
Si tienes en casa un sistema de almacenamiento conectado a la red (NAS) o un sistema de videovigilancia que utiliza una versión vulnerable de PHP, también puede estar en riesgo. Dependiendo del nivel de acceso que consigan, los atacantes podrían copiar, eliminar o cifrar los archivos a los que tengan acceso.
Infección por malware
Si un atacante consigue acceder a un sitio web vulnerable, puede utilizarlo prácticamente como quiera: engañar a los visitantes para que descarguen un archivo malicioso o hagan clic en un enlace de phishing, mostrar instrucciones peligrosas, sustituir formularios de pago o páginas de inicio de sesión por versiones maliciosas, y mucho más. Como resultado, alguien que visite un sitio web legítimo no solo podría perder el acceso a su cuenta, sino también perder dinero o infectar accidentalmente su dispositivo con malware.
A continuación, mostramos algunos ejemplos de servicios directamente afectados por las vulnerabilidades.
Qué servicios están afectados por las vulnerabilidades de PHP
Jeedom
Jeedom es una plataforma de hogar inteligente que permite controlar la iluminación, los sensores, la calefacción, las persianas y los dispositivos IoT domésticos. Los atacantes podrían aprovecharla de muchas formas: desactivar la alarma, saber cuándo el propietario está fuera de casa, acceder al vídeo del portero automático y mucho más.
Los desarrolladores han confirmado que la nueva vulnerabilidad afecta a su aplicación y ya han publicado una actualización de emergencia, Jeedom 4.6.2. Los usuarios deben ejecutar la actualización dos veces para que funcione. Los desarrolladores afirman que en los próximos días se publicará una versión completamente corregida para los usuarios domésticos.
Los sitios web que utilizamos a diario
Como hemos mencionado anteriormente, PHP se utiliza en aproximadamente el 70 % de los sitios web. Esto no significa que todos sean vulnerables: depende de la versión de PHP que utilicen y de si los propietarios del sitio ya la han actualizado. Muchos sitios web gubernamentales de Europa ya han suspendido sus operaciones debido a la nueva vulnerabilidad.
Por desgracia, un sitio web puede seguir siendo vulnerable aunque parezca funcionar con normalidad. Un atacante podría llegar a tomar el control de cualquier sitio web legítimo cuyo servidor aún no haya sido parcheado. Podría falsificar páginas de pago o de inicio de sesión, alojar archivos maliciosos o convencer a los usuarios de descargar una “actualización urgente” que en realidad sea malware.
Los usuarios normales no tienen ninguna forma fiable de comprobar si esas instrucciones o archivos son seguros, así que asegúrate de utilizar una protección fiable contra el phishing y el malware. Si sospechas que tus datos pueden haber sido robados, comprueba las sesiones activas en la configuración de tu cuenta. Si detectas actividad sospechosa o dispositivos que no reconoces, cierra todas las sesiones activas y cambia tu contraseña. Utiliza un gestor de contraseñas: puede generar una contraseña realmente segura y única que no tendrás que memorizar.
Videojuegos
Malas noticias para los gamers: algunos videojuegos cuyos servidores utilizan PHP también están en riesgo. Si no quieres que los atacantes se apoderen de tus cuentas, asegúrate de actualizar las contraseñas de tus plataformas, tiendas y cuentas de videojuegos.
Para ganar tiempo mientras preparaban las actualizaciones, algunos desarrolladores desconectaron temporalmente sus servicios. Final Fantasy XIV, Pokemon Champions, juegos de Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond y muchos otros entraron en mantenimiento de emergencia. Nintendo Switch Online y las tiendas GOG y Steam también se vieron afectadas.
Por desgracia, también ha habido consecuencias más drásticas. Ayer, los desarrolladores de World Quest anunciaron que el juego cerraría definitivamente después de 15 años: dependía de una infraestructura obsoleta cuya corrección habría sido extremadamente complicada y costosa. Por el mismo motivo, el juego para móviles Please Save My Pandemonium! cerró después de más de diez años en funcionamiento.
Almacenamiento conectado a la red (NAS) doméstico
Las “nubes domésticas” se han vuelto populares en los últimos años, y con razón: muchos usuarios prefieren guardar copias de seguridad de sus datos en casa en lugar de hacerlo online. Varias empresas fabrican dispositivos NAS y al menos tres —QNAP, Synology y ASUSTOR— han afirmado que las vulnerabilidades afectan a sus productos. También se ha publicado una actualización para Unraid, un sistema operativo para servidores domésticos, almacenamiento en red y servidores multimedia.
QNAP
El fabricante ha confirmado que las vulnerabilidades afectan a varias versiones de sus sistemas operativos para NAS —QTS y QuTS hero—, además de aplicaciones como QuMagie, Note Station 3 y determinadas versiones de QVR Surveillance. Un ataque exitoso podría poner en riesgo fotos, documentos, notas y grabaciones de cámaras.
En el momento de la publicación, QNAP todavía está preparando actualizaciones, por lo que la principal prioridad es desconectar temporalmente el NAS de Internet. QNAP recomienda desactivar el reenvío de puertos en el router, impedir que el NAS abra puertos automáticamente y permitir el acceso al panel de administración únicamente desde la red doméstica o a través de una VPN.
Synology
Ambas vulnerabilidades han sido confirmadas oficialmente en los paquetes PHP 7.3, 7.4 y 8.0–8.4, así como en Mail Station y Synology Calendar. Ya se han publicado correcciones para PHP a partir de la versión 7.4, además de para Mail Station y Synology Calendar. PHP 7.3 no recibirá ninguna corrección. La empresa también señala específicamente que no es posible acceder desde el exterior al componente PHP integrado en su sistema operativo, por lo que el riesgo de ataque es muy bajo.
ASUSTOR
ASUSTOR también ha confirmado oficialmente ambas vulnerabilidades y ha eliminado de inmediato los paquetes PHP 7, 7.3, 7.4 y 8.1 de App Central. La empresa recomienda realizar inmediatamente una copia de seguridad de los datos, eliminar los paquetes de PHP antiguos y utilizar PHP 8.3 o 8.4.
Unraid
En la actualización del sistema operativo publicada hoy, PHP se ha actualizado a la versión 8.4.27, que incluye correcciones para estas vulnerabilidades. Los desarrolladores recomiendan a todos los usuarios actualizar a Unraid 7.3.4. Los contenedores con su propia instalación de PHP deben actualizarse por separado: la nueva versión de PHP del sistema operativo no sustituye a PHP dentro de los contenedores.
En el momento de la publicación, no habíamos encontrado confirmación pública por parte de otros grandes fabricantes, como TerraMaster, UGREEN, Buffalo o Western Digital, de que sus dispositivos estén afectados por estas vulnerabilidades; únicamente había conversaciones de usuarios en foros.
Sin embargo, que hasta ahora solo algunos fabricantes de NAS hayan confirmado el problema no garantiza que tus dispositivos sean seguros, especialmente si son bastante antiguos o pertenecen a un fabricante poco conocido o que ya no existe. En ese caso, desconecta primero los dispositivos de Internet, manteniéndolos accesibles únicamente desde la red local, y después investiga si son vulnerables.
Almacenamiento en la nube Nextcloud
Nextcloud es una plataforma gratuita y de código abierto para crear tu propio almacenamiento en la nube, y funciona como alternativa a Google Drive, Dropbox y Microsoft OneDrive. Permite almacenar y sincronizar archivos entre dispositivos, compartirlos con otros usuarios y trabajar con documentos, fotos, calendarios y contactos. Los datos pueden almacenarse en tu propio servidor o NAS en lugar de en los servidores de una empresa externa.
Si almacenas datos importantes en Nextcloud, comprueba cómo está configurada tu instancia en la nube. Si utilizas Nextcloud All-in-One, actualiza a la versión 14.4.1, en la que la vulnerabilidad ya se ha corregido.
Si tu instalación de Nextcloud está configurada de otra forma, tendrás que actualizar PHP por tu cuenta en el dispositivo o servidor.
Cómo proteger tus dispositivos y datos
- Utiliza protección contra el phishing y el malware. Nuestra solución de seguridad bloquea automáticamente las páginas de phishing y el malware, incluso cuando los atacantes los colocan en sitios web legítimos.
- Mantente pendiente de las actualizaciones. Si tienes almacenamiento conectado a la red, un sistema de hogar inteligente, un servidor doméstico, un servidor multimedia o cualquier otro dispositivo con una interfaz web, consulta primero el sitio web del fabricante e instala todas las actualizaciones disponibles. Si todavía no hay ninguna actualización, desactiva temporalmente el acceso a Internet del dispositivo.
- Utiliza contraseñas seguras. La mayoría de las personas reutilizan la misma contraseña, o variaciones de ella, en varios sitios web. Si un atacante obtiene una de esas contraseñas de un servidor vulnerable, también podría poner en peligro tus demás cuentas. Recomendamos generar y almacenar contraseñas seguras y únicas en Kaspersky Password Manager para que no tengas que memorizar tus credenciales. Asegúrate de activar la autenticación de dos factores en todas las cuentas importantes, preferiblemente mediante códigos de un solo uso generados por el mismo gestor de contraseñas
- Guarda una copia de seguridad sin conexión de tus archivos importantes. No dependas únicamente del almacenamiento en la nube: asegúrate de guardar una copia de seguridad de todos los documentos importantes en un disco duro y en un dispositivo externo. Para obtener más información sobre cómo realizar correctamente las copias de seguridad, consulta nuestro artículo Internet no lo recuerda todo.
¿A qué otros riesgos pueden enfrentarse tus dispositivos domésticos? Lee nuestros artículos:
- Televisores troyanos, o los nuevos riesgos de los proxies maliciosos
- El ransomware ahora apunta a las copias de seguridad personales
- ¿Tu dispositivo de streaming está alquilando tu red?
- ¿Tu router está trabajando en secreto para servicios de inteligencia extranjeros?
- Tres ataques comunes a Linux en los hogares
- Cómo proteger tu hogar inteligente