Vulnerabilidad de PHP PHP2Shell: información importante

Vulnerabilidades de PHP (PHP2Shell): ¿qué significan para tu producto de STRATO?

En este artículo te informamos sobre dos vulnerabilidades críticas de PHP, conocidas también como «PHP2Shell». Descubrirás si tu producto de STRATO se ve afectado, qué debes hacer y cómo protegerte de los correos electrónicos falsos.

Lo más importante en resumen

• Ya hemos instalado la actualización de seguridad oficial de PHP en todas las plataformas que gestionamos nosotros mismos. Si tu sitio web está alojado en STRATO, no tienes que hacer nada.
• Si gestionas PHP por tu cuenta, por ejemplo en un VPS o en un servidor dedicado, instala cuanto antes la versión actual de PHP.
• Cuidado con el phishing: no hagas clic en los enlaces de correos que hagan referencia a las vulnerabilidades de PHP y no introduzcas tus datos de acceso en ellos.

¿Qué ha pasado?

El 21 de octubre de 2026, la comunidad de PHP dio a conocer dos vulnerabilidades críticas en el núcleo de PHP y publicó al mismo tiempo las actualizaciones de seguridad correspondientes. A través de estas vulnerabilidades, los atacantes podrían ejecutar código propio en un sitio web y acceder así a los datos de ese sitio.

Las instalaciones de PHP de todo el mundo se ven afectadas, independientemente del proveedor de hosting. PHP es un lenguaje de programación que utilizan, entre otros, WordPress, Joomla o Drupal.

Antes de que aparecieran las actualizaciones, ya habíamos aplicado medidas de protección adicionales: en nuestras plataformas de hosting había configuraciones de PHP adaptadas y reglas de firewall activas que bloquean las solicitudes sospechosas. Estas medidas reducen el riesgo, pero no cierran las vulnerabilidades de forma definitiva. Eso solo se consigue con la actualización oficial.

¿Me afecta como cliente de STRATO?

Depende de cómo utilices PHP:

¿Estoy protegido con STRATO PHP Extended Support?

Si utilizas el servicio de pago STRATO PHP Extended Support, también estás protegido. Hemos aplicado la actualización de seguridad también a las versiones antiguas de PHP que la comunidad de PHP ya no mantiene, y la hemos instalado en nuestras plataformas. No tienes que hacer nada.

Esto se aplica a las versiones de PHP 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0 y 8.1. (PHP 4, 5.2, 5.4 y 5.5 para productos más antiguos)

¿Cómo compruebo mi versión de PHP en el acceso de clientes de STRATO?

En el hosting de STRATO puedes ver la versión de PHP que utilizas en tu paquete. Sigue estos pasos:

1. Inicia sesión en tu acceso de clientes de STRATO.
2. Selecciona tu paquete de hosting.
3. En el menú, haz clic en Bases de datos y espacio web → Versión de PHP.
4. Allí verás la versión que utilizas actualmente. Actualmente puedes elegir entre las versiones 8.2, 8.3, 8.4 y 8.5. La versión recomendada aparece marcada.

Cómo cambiar la versión: Cómo modificar la configuración de PHP en su paquete de Hosting

¿Qué debo hacer si gestiono PHP por mi cuenta?

Si gestionas PHP por tu cuenta, por ejemplo en un VPS o en un servidor dedicado, tienes que instalar la actualización tú mismo. Que tu sitio web tenga poco alcance o sea poco conocido no te protege, ya que los atacantes buscan sistemas vulnerables en internet de forma automatizada.

1. Localiza las instalaciones de PHP: Comprueba dónde se ejecuta PHP. Ten en cuenta también el software que incluye su propio PHP, los paneles de administración y los sistemas de gestión de contenidos.
2. Instala la versión actual de PHP: Instala cuanto antes la versión actual de PHP, empezando por los sistemas accesibles desde internet. Después, reinicia todos los servicios de PHP.
3. Sustituye las versiones obsoletas: Para las versiones antiguas de PHP que ya no tienen soporte, es posible que no haya actualización. Planifica una actualización o restringe el acceso a esos sistemas hasta que hayas cambiado de versión.
4. Ten copias de seguridad a mano: Dispón de copias de seguridad recientes y probadas.
5. Vigila posibles anomalías: Observa tu sistema por si aparecen las señales que se indican a continuación.

¿Cómo reconozco un posible compromiso de seguridad?

Si un ataque tiene éxito, pueden darse, entre otras, las siguientes señales:

• archivos desconocidos en el directorio de tu sitio web o archivos que tú no has modificado
• usuarios administradores desconocidos o cuentas nuevas en tu CMS
• tareas programadas (cronjobs) inesperadas
• carga del servidor inexplicablemente alta o tráfico de datos inusualmente elevado
• redirecciones, contenido de spam o correos inesperados enviados desde tu sitio web

Si detectas alguna de estas señales, te recomendamos lo siguiente:

1. Cambia cuanto antes tus contraseñas y datos de acceso (por ejemplo, de la base de datos, el CMS, SFTP y los accesos API) desde un dispositivo limpio que no se haya visto afectado.
2. Por ahora, no elimines archivos ni registros, para que se pueda reconstruir el incidente.
3. Si es necesario, restaura una copia de seguridad limpia de tu sitio web y actualiza después PHP y tus aplicaciones.
4. Ponte en contacto con nuestro servicio de atención al cliente a través de nuestra Ayuda y Contacto → Contacto.

¿Cómo me protejo de los correos de phishing?

Los estafadores suelen aprovechar los acontecimientos que reciben mucha atención mediática. Envían correos electrónicos falsos para conseguir datos de acceso.

• No hagas clic en los enlaces de correos que hagan referencia a las vulnerabilidades de PHP.
• No introduzcas datos de acceso en ellos.
• Si ya has introducido datos, cambia cuanto antes tu contraseña en el acceso de clientes de STRATO.
• No ejecutes en tu servidor scripts que no procedan de fuentes de confianza.

Encontrarás más información en el apartado E-mail malicioso (Phishing).

Artículos relacionados

• ¿Qué es PHP y cómo lo utilizo?
• Cómo modificar la configuración de PHP en su paquete de Hosting
• ¿Qué es PHP Extended Support de STRATO?
• CERT-EU Security Advisory