Nivel: ⭐⭐ Curioso
Esta semana el INCIBE-CERT ha publicado tres alertas de seguridad que, vistas por separado ya son importantes, pero juntas dibujan el escenario más tenso para cualquier autónomo con presencia online en lo que va de año. Dos fallos críticos en PHP que permiten tomar el control de un servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. sin contraseña, una docena larga de vulnerabilidades en Apache, y la confirmación de que todo esto también afecta a los discos de red (NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones.) de Synology y QNAP. Si tienes web, tienda online, un WordPress o un NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones. en la oficina, esta semana toca ponerse al día.
Lo que ha pasado con PHP
El 21 de octubre, el proyecto PHP publicó cuatro versiones de emergencia para corregir dos vulnerabilidades críticas, conocidas como PHP2Shell. Ambas tienen una puntuación de 9,2 sobre 10 en la escala CVSS v4.0 y, en la práctica, permiten a un atacante ejecutar código en tu servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. sin necesidad de usuario ni contraseña.
No son fallos de un plugin de WordPress ni de una aplicación concreta. Viven en el núcleo de PHP, el lenguaje que hace funcionar WordPress, PrestaShop, WooCommerce, Joomla, Drupal, Magento y una buena parte de las herramientas de gestión que usan autónomos y pequeñas empresas. Cuando un fallo está en PHP mismo, da igual lo bien programada que esté tu web: el agujero está debajo.
La primera vulnerabilidad (CVE-2026-109618) aprovecha un error cuando el servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. se queda sin memoria al procesar una petición. La segunda (CVE-2026-109619) ocurre porque PHP mantiene información interna entre una solicitud y la siguiente, y esa información puede apuntar a memoria ya liberada. En cristiano: con una petición bien construida, un atacante puede hacer que tu servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. ejecute sus propias órdenes.
El aviso de INCIBE lo deja claro: se han reportado ataques activos antes incluso de que se publicaran los parches. Cloudflare activó reglas de firewallSistema de seguridad que controla el tráfico de red entrante y saliente, permitiendo o bloqueando conexiones según unas reglas definidas. Es la primera línea de defensa de cualquier servidor o red. Todos los sistemas operativos modernos incluyen uno, pero configurarlo correctamente es clave para evitar accesos no autorizados. para todos sus clientes y observó cómo los atacantes modificaban sus cargas para esquivarlas. Países como Países Bajos, Finlandia, Dinamarca y Francia llegaron a apagar webs públicas por precaución.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si usas una versión anterior a 8.2, estás en una rama sin soporte oficial: el equipo de PHP ha publicado parches retroportados para 7.4, 8.0 y 8.1, pero la recomendación es migrar a una rama con soporte.
La onda expansiva llega a tu NAS
Dos días después, el 23 de octubre, INCIBE publicó un aviso preliminar: las mismas vulnerabilidades de PHP afectan a los discos de red de Synology. En concreto, los paquetes PHP 7.4 a 8.4 de DSM, Mail Station y Synology Calendar están expuestos. Synology ya ha publicado las versiones corregidas para todos los paquetes con soporte. Para PHP 7.3, que ya no recibe actualizaciones, no hay corrección posible: toca migrar.
QNAP, el otro gran fabricante de NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones., también ha emitido avisos de seguridad y recomienda actualizar sus sistemas. El riesgo no es menor: el NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones. es ese aparato que conectaste hace dos años, configuraste una vez y desde entonces guarda ahí las copias de seguridad, la contabilidad y los documentos compartidos del equipo. Si alguien toma el control del NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones., tiene las llaves del reino.
Lo preocupante no es solo que exista el fallo, sino que el NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones. se actualiza con menos frecuencia que el servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. web. Es el clásico aparato que «se configura y se olvida». Esta semana demuestra que olvidarlo sale caro.
Por si fuera poco: 16 vulnerabilidades en Apache
El 22 de octubre, un día después del aviso de PHP, INCIBE publicó otra alerta crítica (INCIBE-2026-770) sobre 16 vulnerabilidades en productos Apache. Cinco de ellas son críticas, nueve altas y dos medias. Afectan a Apache Pulsar y Apache Traffic Server.
Entre las más graves: un fallo que permite a un atacante hacerse pasar por superadministrador de Pulsar sin tener credenciales válidas (solo con enviar un JWT falso), y varios agujeros en Traffic Server que permiten envenenar la caché, saltarse controles de acceso o provocar una denegación de servicio. Dicho de otro modo: si tu infraestructura usa Apache —y es probable que sí, porque es el servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones. web más usado del mundo open source—, toca actualizar también.
Apache ha publicado las versiones corregidas (4.0.14 o 4.2.5 para Pulsar; 9.2.16, 10.1.5 o 10.2.1 para Traffic Server).
Checklist: qué hacer hoy
Vamos por partes, porque no todo el mundo gestiona su propia infraestructura del mismo modo.
Si tienes el hosting contratado (la mayoría de los casos): llama o escribe a tu proveedor y pregúntale si ya ha actualizado PHP a las versiones corregidas. Muchos hosting aplican los parches automáticamente, pero no está de más confirmarlo. Si usas PHP 8.1 o anterior, pregúntales también si piensan migrar a una rama con soporte. WordPress.org ya ha publicado un aviso instando a actualizar.
Si gestionas tu propio servidorOrdenador configurado para procesar peticiones de otros dispositivos (clientes) y servirles datos, archivos o servicios. Puede ser físico (un ordenador encendido 24/7 en tu casa) o virtual (un VPS en un centro de datos). Los servidores son el corazón de cualquier infraestructura digital: sin ellos, no hay correo, web, almacenamiento en la nube ni automatizaciones.: actualiza PHP hoy. El comando para ver tu versión es php -v. Si estás por debajo de 8.2.35, 8.3.36, 8.4.27 o 8.5.12 (según tu rama), tienes que actualizar. En Ubuntu o Debian, actualiza los paquetes del sistema. Si no puedes actualizar de inmediato, PHP recomienda aplicar medidas temporales como limitar el tamaño de las peticiones POST, pero el equipo de seguridad es tajante: «no existen mitigaciones completas; actualizar es la única opción segura».
Si tienes un NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones.: entra al panel de administración de DSM, ve al Centro de Paquetes y comprueba las versiones de los paquetes PHP, Mail Station y Calendar. Deben estar en las versiones corregidas que ha publicado Synology. Si no, actualiza ya. Para QNAP, consulta su centro de seguridad. Y a partir de ahora, incluye el NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones. en tu rutina de actualización mensual.
Si todo esto te suena a chino: este es exactamente el tipo de situación para la que tener a alguien que mire por tu infraestructura. No hace falta que seas informático para tener una web segura, pero sí hace falta que alguien lo sea por ti. Si quieres hacerte una idea de por dónde empezar, este test de 8 preguntas te ayuda a saber si tu negocio resistiría un ciberataque.
La lección de esta semana
Tres alertas críticas en siete días. PHP, Apache y NASDispositivo de almacenamiento conectado a tu red local que permite acceder a tus archivos desde cualquier dispositivo de tu casa u oficina. Esencialmente, tu propia nube privada física. Marcas como Synology, QNAP o montar uno tú mismo con software libre como TrueNAS. Ideal para backups, compartir archivos en red y centralizar el almacenamiento sin pagar suscripciones.. No son tres incidentes aislados: son síntomas de algo más estructural. Cuando el software del que dependen millones de webs tiene un fallo de este calibre, la única defensa es tener las actualizaciones al día. No vale con «total, mi web es pequeña, a mí no me van a atacar». Los ataques no distinguen: escanean internet en busca de servidores vulnerables y ejecutan el exploit contra todo lo que encuentran.
La buena noticia es que los parches existen. La mala es que aplicarlos depende de ti o de tu proveedor, y el tiempo de reacción marca la diferencia entre un susto y una brecha real.
Si después de leer esto no sabes muy bien qué versión de PHP tienes ni cómo comprobarlo, apunta este artículo como recordatorio para sentarte con tu proveedor de hosting o tu técnico de confianza y revisar el tema. No es una tarea para mañana: desde el 21 de octubre hay exploits dando vueltas.