¿Es peligroso entrar en una web hackeada? Qué significa PHP2Shell para quien visita

MacWindowsiPhoneAndroidActualizado

PHP2Shell es un fallo del software que funciona en el servidor de una web, no en tu móvil ni en tu ordenador. Visitar una web hecha con PHP no expone tu dispositivo al fallo en sí. El riesgo para ti es que alguien se haga con la web y cambie lo que te muestra.

Respuesta rápida

Las vulnerabilidades de PHP publicadas el 21 de octubre de 2026 afectan a instalaciones de PHP que atienden peticiones web, es decir, a servidores. Una visita no ejecuta PHP en tu dispositivo. Pero Google dice que las webs hackeadas pueden redirigir a páginas dañinas, alojar páginas de phishing o intentar instalar software malicioso. Mantén el navegador al día, evita descargas inesperadas y revisa la dirección antes de iniciar sesión.

¿Qué significa un fallo de PHP en una web para quien la visita?

El fallo está en el servidor de la web. El manual de PHP explica que el código PHP se ejecuta en el servidor, que genera HTML y lo envía a tu navegador. Tu navegador recibe el resultado y nunca ve el código PHP. El aviso de PHP sobre CVE-2026-109618 y CVE-2026-109619 dice que están en riesgo las instalaciones de PHP que atienden peticiones web, y el NCSC, el centro de ciberseguridad del Reino Unido, dice que el problema puede permitir ejecutar órdenes en cualquier servidor web con PHP.

El aviso de INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, se dirige a quien administra servidores. Para quien visita, PHP2Shell importa si un atacante se hace con una web que usas, porque entonces puede cambiar lo que te muestra.

¿Qué puede hacer una web hackeada a quien la visita?

La guía de Google para propietarios de webs describe lo que hacen los atacantes cuando tienen acceso a un sitio:

  • Cambiar páginas existentes. Google dice que pueden inyectar código malicioso en páginas que ya existen.
  • Mandarte a otro sitio. Google dice que el código inyectado puede redirigir a algunos usuarios a páginas dañinas o de spam.
  • Añadir páginas nuevas. Google dice que pueden añadir páginas con contenido malicioso o de spam, y que a menudo se usan para intentar phishing.
  • Intentar instalar software. Google dice que el contenido hackeado puede llegar a instalar contenido malicioso en los equipos de los usuarios. Su guía sobre ingeniería social muestra como ejemplo una ventana emergente engañosa pensada para que alguien instale malware.
  • Pedirte la contraseña. Google dice que los sitios de phishing pueden parecer exactamente iguales que el real, y que los atacantes pueden hacerse con webs inocentes para alojar este tipo de contenido.

¿Me avisará el navegador de que una web es peligrosa?

Puede que sí. Google Safe Browsing muestra avisos cuando alguien intenta entrar en sitios peligrosos o descargar archivos peligrosos. Cada navegador principal tiene sus propios avisos:

  • Safari en el Mac. Selecciona Safari > Ajustes y haz clic en Seguridad. Apple dice que la opción "Advertir al visitar un sitio web fraudulento" te avisa si el sitio que visitas es sospechoso de phishing.
  • Chrome. Google dice que Chrome muestra un aviso rojo de "Sitio peligroso" ante sitios de phishing, malware, software no deseado o ingeniería social, y desaconseja entrar. En un ordenador, el nivel de protección está en Más > Configuración > Privacidad y seguridad > Seguridad, en el apartado Navegación segura.
  • Microsoft Edge. Microsoft dice que SmartScreen compara las páginas con una lista dinámica de sitios de phishing y de software malintencionado notificados, y también revisa las descargas. Si hay coincidencia, avisa de que el sitio se ha bloqueado por tu seguridad.

La ayuda de Microsoft tiene además la opción "Informar de un sitio web no seguro" para sitios que no estaban marcados. No ver un aviso no prueba que una web sea segura.

¿Cómo me protejo al visitar webs?

  1. Mantén al día el navegador y el dispositivo. El NCSC dice que instalar pronto las actualizaciones de seguridad ayuda a proteger tus dispositivos y cuentas, y que actives las actualizaciones automáticas si están disponibles.
  2. No descargues lo que no fuiste a buscar. Apple dice que algunas descargas pueden no contener el software que prometen, y aconseja obtener las apps del App Store o directamente de la web del desarrollador. En el Mac, Apple advierte de que el software que no está firmado ni notarizado puede exponer tu ordenador y tu información personal a malware.
  3. Revisa la dirección antes de escribir una contraseña. Apple advierte de enlaces que parecen correctos pero cuya URL no coincide con la web de la empresa. En el Mac, pasa el puntero por encima del enlace para ver adónde lleva; en el iPhone o el iPad, mantenlo pulsado. Ante un correo sospechoso, INCIBE aconseja no hacer clic en ningún enlace ni descargar ningún archivo adjunto.
  4. Usa un gestor de contraseñas. INCIBE dice que un gestor de contraseñas ayuda a crear contraseñas únicas. El NCSC añade que te protege del phishing, porque la contraseña solo se rellena sola en la web correcta.
  5. Activa la verificación en dos pasos. INCIBE la describe como una medida de seguridad adicional a la contraseña y recomienda activarla en todas las cuentas en línea que lo permitan.

¿Y si ya escribí una contraseña o descargué algo?

Actúa sobre lo que pasó. Para el caso de un correo de phishing, INCIBE aconseja cambiar las contraseñas de las cuentas implicadas, escanear el dispositivo con un antivirus actualizado y borrar lo que hayas descargado. Cambia también la contraseña en cualquier otra cuenta donde usaras la misma.

Si has perdido dinero, INCIBE aconseja contactar con el banco para cancelar cualquier pago no autorizado, reunir pruebas y denunciarlo ante las Fuerzas y Cuerpos de Seguridad del Estado. Para orientarte, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial, y también atiende por WhatsApp en el 900 116 117 y en Telegram como @INCIBE017. Si vives fuera de España, acude a la policía y al organismo de ciberseguridad de tu país.

Dónde encaja Failshot

Failshot es seguridad de dispositivo de segunda capa para tu Mac, pensada para otro momento: que alguien use tu Mac en persona. Tu contraseña es la primera capa, y Failshot es la capa que va después. Mientras está activado, hace fotos de quien desbloquea tu Mac y después, con Pro, graba un vídeo de 5 segundos, y su ventana le avisa a esa persona de que el desbloqueo se ha fotografiado. Para desactivarlo, o salir desde su menú, hace falta Touch ID o tu PIN y tu respuesta de Failshot, nunca la contraseña del Mac.

La app para Mac se descarga gratis con macOS 14 o posterior. Uso gratuito. Pro añade el vídeo, las alertas por correo y la bóveda cifrada. Prueba Failshot Pro para Mac gratis durante 7 días en failshot.app: al darte de alta se te pide la tarjeta, y el cobro llega el día 8 salvo que canceles. Las versiones para iPhone, Android y Windows llegarán pronto. La app está en inglés.

Más preguntas

¿Puedo saber si una web usa PHP?

No de forma fiable. El manual de PHP dice que un servidor web puede configurarse para procesar todas sus páginas con PHP, y entonces quien visita no tiene manera de saber que se usa PHP.

¿El dueño de una web sabe siempre que se la han hackeado?

No siempre. Google dice que, cuando hackean una web, no es raro que el atacante use técnicas de encubrimiento (cloaking) para que al propietario le cueste más detectarlo. Por eso la prudencia con descargas y contraseñas vale también en webs conocidas.

¿Se ha usado PHP2Shell contra webs?

A 23 de octubre de 2026, la agencia estadounidense CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. La alerta no da ninguna lista de webs afectadas. Nuestra explicación de la vulnerabilidad de PHP recoge lo que dicen los demás avisos oficiales.

Fuentes