¿Afecta PHP2Shell a mi móvil? La vulnerabilidad de PHP en iPhone y Android

iPhoneAndroidActualizado

El aviso del proyecto PHP del 21 de octubre de 2026 dice que están en riesgo todas las instalaciones de PHP que atienden peticiones web, es decir, software de servidor. No menciona móviles, tabletas ni navegadores. Navegar por una web desde tu iPhone o tu Android no ejecuta el PHP de esa web en el móvil, aunque una web hackeada sí puede darte problemas por otras vías.

Respuesta rápida

PHP2Shell es el nombre de dos fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619. El aviso de PHP dice que ponen en riesgo las instalaciones de PHP que atienden peticiones web, y el manual de PHP explica que el código PHP se ejecuta en el servidor. Tu móvil recibe la página ya terminada. Aun así, mantén iOS o Android al día y ten cuidado con descargas e inicios de sesión en webs que no conoces.

¿Qué dice el aviso de PHP que está afectado?

Los servidores que usan PHP para responder a peticiones web. INCIBE-CERT, en su aviso sobre estos fallos, recoge que PHP considera en riesgo las instalaciones que procesan solicitudes web, incluidas las que usan PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed, y que el riesgo es mayor en Apache mod_php. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Son formas de ejecutar PHP detrás de una web. INCIBE-CERT pide actualizar PHP a la versión corregida de cada rama, y el NCSC, el centro de ciberseguridad del Reino Unido, dirige sus consejos a las organizaciones: localizar cada instalación de PHP, actualizarla y buscar señales de que se haya visto comprometida. Nuestra guía PHP2Shell explicado trata los fallos y el problema adicional, mucho menos probable, que el proyecto PHP publicó el 23 de octubre.

¿Por qué navegar con el móvil no ejecuta el PHP?

Por dónde trabaja PHP. El manual de PHP explica que, a diferencia del JavaScript del lado del cliente, el código se ejecuta en el servidor, que genera el HTML y lo envía después al cliente. El cliente solo recibe el resultado, sin forma de acceder al código.

El navegador de tu móvil es ese cliente. Recibe el HTML, no el PHP que lo generó, así que corregir PHP2Shell le toca al propietario de la web.

El aviso no menciona iOS ni Android, y esta guía no afirma nada sobre qué software llevan dentro. Lo que sí respaldan las fuentes es algo más concreto: el aviso trata de PHP atendiendo peticiones web, y un móvil que lee una página está en el lado que la recibe.

¿Una web hackeada puede darme problemas en el móvil?

Sí, de otra manera, y hay un detalle que importa en el móvil. Las políticas de Google para propietarios de webs dicen que los hackers pueden inyectar código para redirigir a algunos usuarios a páginas dañinas o engañosas, y que el tipo de redirección puede depender de la URL de procedencia, del user-agent o del dispositivo. Así que una web hackeada podría comportarse en tu móvil de forma distinta que en un portátil.

Nuestra guía sobre si entrar en una web hackeada es peligroso explica qué puede hacer una web hackeada, los avisos del navegador y qué hacer si ya has escrito una contraseña donde no debías. Para tus cuentas en servicios que usas, mira si tus datos personales están en riesgo.

¿Cómo actualizo el iPhone?

Apple dice que actualizar el software es uno de los pasos más importantes para preservar la seguridad de sus productos. No es una corrección de PHP2Shell, solo una buena práctica que también recomienda el NCSC.

  1. Haz una copia de seguridad del iPhone con iCloud o con un ordenador.
  2. Conéctalo a la corriente y a una red wifi.
  3. Ve a Ajustes > General > Actualización de Software.
  4. Si hay una actualización disponible, toca Descargar e Instalar y sigue las instrucciones en pantalla.

Para que las actualizaciones se instalen solas, ve a Ajustes > General > Actualización de Software > Actualizaciones automáticas y activa Instalación Automática. Apple dice que así el iPhone instala la actualización durante la noche, mientras se carga y tiene wifi, y que te avisa antes.

¿Cómo actualizo un móvil Android?

Para ver tu versión, abre Ajustes y toca Información del teléfono > Versión de Android. Ahí verás la versión de Android, la actualización de seguridad de Android, la actualización del sistema de Google Play y el número de compilación.

  1. Conéctate a una red wifi y carga el móvil. Google recomienda al menos un 75 %, porque las actualizaciones pueden ser grandes.
  2. Ve a Ajustes > Sistema > Actualizaciones de software.
  3. Consulta ahí el estado de la actualización y sigue las instrucciones en pantalla.

Google dice que la programación de las actualizaciones varía según el dispositivo, el fabricante y el operador, así que el menú exacto puede cambiar en un móvil que no sea Pixel.

¿De dónde debo descargar las apps?

De las tiendas oficiales, y el consejo del NCSC es mantener también esas apps al día: aplicar las actualizaciones de las apps y del sistema en cuanto estén disponibles.

En el iPhone, las apps vienen del App Store, y Apple dice que el 100 % de sus apps se revisan automáticamente en busca de malware. En Android, Google Play Protect comprueba si hay comportamientos dañinos en tus apps y dispositivos, y revisa la seguridad de las apps de Google Play Store antes de que las descargues. Para comprobar que está activado, abre Google Play Store, toca el icono de perfil, luego Play Protect > Ajustes, y asegúrate de que "Analizar aplicaciones con Play Protect" está activado.

Dónde encaja Failshot

Las versiones de Failshot para iPhone, Android y Windows llegarán pronto.

En el Mac, Failshot es seguridad de dispositivo de segunda capa. Tu contraseña es la primera capa, y Failshot es la que va después, para el momento en que alguien se sienta ante tu Mac y lo desbloquea. Mientras está activado, hace fotos de quien desbloquea tu Mac y después, con Pro, graba un vídeo de 5 segundos, y su ventana le avisa a esa persona de que el desbloqueo se ha fotografiado. Para desactivarlo, o salir desde su menú, hace falta Touch ID o tu PIN y tu respuesta de Failshot, nunca la contraseña del Mac.

La app de Mac se descarga gratis desde failshot.app, con macOS 14 o posterior. Uso gratuito. Pro añade el vídeo, las alertas por correo y la bóveda cifrada. Prueba Failshot Pro para Mac gratis durante 7 días en failshot.app: al darte de alta se te pide la tarjeta, y el cobro llega el día 8 salvo que canceles. La app está en inglés.

Más preguntas

¿Hay una actualización de PHP2Shell para iPhone o Android?

El aviso de PHP no menciona ninguna. A 23 de octubre de 2026, su corrección son las nuevas versiones de PHP: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. No nombra software de móviles. Instala las actualizaciones de Apple y Google a medida que lleguen, cubran lo que cubran.

Mi móvil es antiguo y ya no recibe actualizaciones. ¿Debo preocuparme por PHP2Shell?

PHP2Shell afecta a servidores, así que ese no es el motivo. Pero el consejo general del NCSC sigue en pie: un móvil que ya no recibe actualizaciones de seguridad del fabricante es menos seguro, y aconseja no usar móviles que hayan perdido el soporte.

¿Afecta PHP2Shell a mi Mac o a mi portátil?

Depende de si tiene PHP instalado, que es otra pregunta distinta a la del móvil. Nuestra guía sobre si la vulnerabilidad de PHP afecta a tu Mac explica cómo comprobarlo en Terminal y cómo actualizar.

¿Debo dejar de usar webs hasta que esto se arregle?

Ni el aviso de PHP, ni el de INCIBE-CERT, ni la alerta del NCSC piden al público que deje de usar webs. Sus consejos son para quien gestiona PHP: actualizarlo. Como visitante, aplica el cuidado de siempre, sobre todo con las descargas y las páginas de inicio de sesión.

Fuentes