{"id":32548,"date":"2026-10-23T09:39:47","date_gmt":"2026-10-23T07:39:47","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=32548"},"modified":"2026-10-23T09:39:47","modified_gmt":"2026-10-23T07:39:47","slug":"how-to-mitigate-php2shell-at-home","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/how-to-mitigate-php2shell-at-home\/32548\/","title":{"rendered":"C\u00f3mo amenazan las nuevas vulnerabilidades de PHP a los usuarios dom\u00e9sticos"},"content":{"rendered":"

El pasado 21 de octubre se revelaron dos vulnerabilidades cr\u00edticas en PHP, el lenguaje de scripting que utilizan muchos sitios web y servicios online: CVE-2026-109618 y CVE-2026-109619. Los atacantes pueden aprovecharlas para ejecutar comandos de forma remota en cualquier servidor que utilice PHP, sin necesidad de autenticaci\u00f3n. El exploit ha recibido el nombre de PHP2Shell.<\/p>\n

El equipo de seguridad de PHP anunci\u00f3 una actualizaci\u00f3n de emergencia el 20 de octubre y public\u00f3 los parches que corrigen las vulnerabilidades al d\u00eda siguiente.<\/p>\n

Ya hemos analizado los detalles t\u00e9cnicos de estas vulnerabilidades<\/a> y explicado qu\u00e9 deben hacer las empresas y los administradores de servidores<\/a>. Es posible que pasaras por alto esa noticia porque no administras ning\u00fan servidor, pero, por desgracia, el problema no afecta \u00fanicamente a las empresas.<\/p>\n

Casi el 70 % de los sitios web utilizan PHP, incluidos servicios que usamos a diario: wikis, tiendas online, dispositivos inteligentes con interfaces web, sistemas dom\u00e9sticos de almacenamiento conectado a la red (NAS), controladores de hogares inteligentes y mucho m\u00e1s.<\/p>\n

Hoy explicamos c\u00f3mo pueden afectarte personalmente estas vulnerabilidades y qu\u00e9 puedes hacer para reducir los riesgos.<\/p>\n

C\u00f3mo pueden afectar estas vulnerabilidades a los usuarios dom\u00e9sticos<\/h2>\n

Robo de cuentas y datos personales<\/h3>\n

La vulnerabilidad permite a un atacante robar tokens de autenticaci\u00f3n de la memoria del servidor. Estos tokens funcionan b\u00e1sicamente como pases electr\u00f3nicos que indican a un sitio web que el usuario ya ha iniciado sesi\u00f3n. Como resultado, un atacante podr\u00eda acceder a la cuenta de otra persona sin introducir una contrase\u00f1a ni un c\u00f3digo de autenticaci\u00f3n de dos factores, poniendo en riesgo mensajes, documentos, direcciones de entrega, historiales de pedidos y otra informaci\u00f3n confidencial.<\/p>\n

P\u00e9rdida de archivos en dispositivos dom\u00e9sticos<\/h3>\n

Si tienes en casa un sistema de almacenamiento conectado a la red (NAS) o un sistema de videovigilancia que utiliza una versi\u00f3n vulnerable de PHP, tambi\u00e9n puede estar en riesgo. Dependiendo del nivel de acceso que consigan, los atacantes podr\u00edan copiar, eliminar o cifrar los archivos a los que tengan acceso.<\/p>\n

Infecci\u00f3n por malware<\/h3>\n

Si un atacante consigue acceder a un sitio web vulnerable, puede utilizarlo pr\u00e1cticamente como quiera: enga\u00f1ar a los visitantes para que descarguen un archivo malicioso o hagan clic en un enlace de phishing, mostrar instrucciones peligrosas, sustituir formularios de pago o p\u00e1ginas de inicio de sesi\u00f3n por versiones maliciosas, y mucho m\u00e1s. Como resultado, alguien que visite un sitio web leg\u00edtimo no solo podr\u00eda perder el acceso a su cuenta, sino tambi\u00e9n perder dinero o infectar accidentalmente su dispositivo con malware.<\/p>\n

A continuaci\u00f3n, mostramos algunos ejemplos de servicios directamente afectados por las vulnerabilidades.<\/p>\n

Qu\u00e9 servicios est\u00e1n afectados por las vulnerabilidades de PHP<\/h2>\n

Jeedom<\/h3>\n

Jeedom es una plataforma de hogar inteligente que permite controlar la iluminaci\u00f3n, los sensores, la calefacci\u00f3n, las persianas y los dispositivos IoT dom\u00e9sticos. Los atacantes podr\u00edan aprovecharla de muchas formas: desactivar la alarma, saber cu\u00e1ndo el propietario est\u00e1 fuera de casa, acceder al v\u00eddeo del portero autom\u00e1tico y mucho m\u00e1s.<\/p>\n

Los desarrolladores han confirmado que la nueva vulnerabilidad afecta a su aplicaci\u00f3n y ya han publicado una actualizaci\u00f3n de emergencia<\/a>, Jeedom 4.6.2. Los usuarios deben ejecutar la actualizaci\u00f3n dos veces para que funcione. Los desarrolladores afirman que en los pr\u00f3ximos d\u00edas se publicar\u00e1 una versi\u00f3n completamente corregida para los usuarios dom\u00e9sticos.<\/p>\n

Los sitios web que utilizamos a diario<\/h3>\n

Como hemos mencionado anteriormente, PHP se utiliza en aproximadamente el 70 % de los sitios web. Esto no significa que todos sean vulnerables: depende de la versi\u00f3n de PHP que utilicen y de si los propietarios del sitio ya la han actualizado. Muchos sitios web gubernamentales de Europa ya han suspendido sus operaciones<\/a> debido a la nueva vulnerabilidad.<\/p>\n

Por desgracia, un sitio web puede seguir siendo vulnerable aunque parezca funcionar con normalidad. Un atacante podr\u00eda llegar a tomar el control de cualquier sitio web leg\u00edtimo cuyo servidor a\u00fan no haya sido parcheado. Podr\u00eda falsificar p\u00e1ginas de pago o de inicio de sesi\u00f3n, alojar archivos maliciosos o convencer a los usuarios de descargar una \u201cactualizaci\u00f3n urgente\u201d que en realidad sea malware.<\/p>\n

Los usuarios normales no tienen ninguna forma fiable de comprobar si esas instrucciones o archivos son seguros, as\u00ed que aseg\u00farate de utilizar una protecci\u00f3n fiable contra el phishing y el malware<\/a>. Si sospechas que tus datos pueden haber sido robados, comprueba las sesiones activas en la configuraci\u00f3n de tu cuenta. Si detectas actividad sospechosa o dispositivos que no reconoces, cierra todas las sesiones activas y cambia tu contrase\u00f1a. Utiliza un gestor de contrase\u00f1as<\/a>: puede generar una contrase\u00f1a realmente segura y \u00fanica que no tendr\u00e1s que memorizar.<\/p>\n

Videojuegos<\/h3>\n

Malas noticias para los gamers: algunos videojuegos cuyos servidores utilizan PHP tambi\u00e9n est\u00e1n en riesgo. Si no quieres que los atacantes se apoderen de tus cuentas, aseg\u00farate de actualizar las contrase\u00f1as de tus plataformas, tiendas y cuentas de videojuegos.<\/p>\n

Para ganar tiempo mientras preparaban las actualizaciones, algunos desarrolladores desconectaron temporalmente sus servicios. Final Fantasy XIV, Pokemon Champions, juegos de Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond y muchos otros entraron en mantenimiento de emergencia. Nintendo Switch Online y las tiendas GOG y Steam tambi\u00e9n se vieron afectadas<\/a>.<\/p>\n

Por desgracia, tambi\u00e9n ha habido consecuencias m\u00e1s dr\u00e1sticas. Ayer, los desarrolladores de World Quest anunciaron<\/a> que el juego cerrar\u00eda definitivamente despu\u00e9s de 15 a\u00f1os: depend\u00eda de una infraestructura obsoleta cuya correcci\u00f3n habr\u00eda sido extremadamente complicada y costosa. Por el mismo motivo, el juego para m\u00f3viles Please Save My Pandemonium! cerr\u00f3 despu\u00e9s de m\u00e1s de diez a\u00f1os en funcionamiento.<\/p>\n

Almacenamiento conectado a la red (NAS) dom\u00e9stico<\/h3>\n

Las \u201cnubes dom\u00e9sticas\u201d se han vuelto populares en los \u00faltimos a\u00f1os, y con raz\u00f3n: muchos usuarios prefieren guardar copias de seguridad de sus datos en casa en lugar de hacerlo online. Varias empresas fabrican dispositivos NAS y al menos tres \u2014QNAP, Synology y ASUSTOR\u2014 han afirmado que las vulnerabilidades afectan a sus productos. Tambi\u00e9n se ha publicado una actualizaci\u00f3n para Unraid, un sistema operativo para servidores dom\u00e9sticos, almacenamiento en red y servidores multimedia.<\/p>\n

QNAP<\/h4>\n

El fabricante ha confirmado que las vulnerabilidades afectan a varias versiones de sus sistemas operativos para NAS \u2014QTS y QuTS hero\u2014, adem\u00e1s de aplicaciones como QuMagie, Note Station 3 y determinadas versiones de QVR Surveillance. Un ataque exitoso podr\u00eda poner en riesgo fotos, documentos, notas y grabaciones de c\u00e1maras.<\/p>\n

En el momento de la publicaci\u00f3n, QNAP todav\u00eda est\u00e1 preparando actualizaciones, por lo que la principal prioridad es desconectar temporalmente el NAS de Internet. QNAP recomienda<\/a> desactivar el reenv\u00edo de puertos en el router, impedir que el NAS abra puertos autom\u00e1ticamente y permitir el acceso al panel de administraci\u00f3n \u00fanicamente desde la red dom\u00e9stica o a trav\u00e9s de una VPN<\/a>.<\/p>\n

Synology<\/h3>\n

Ambas vulnerabilidades han sido confirmadas oficialmente<\/a> en los paquetes PHP 7.3, 7.4 y 8.0\u20138.4, as\u00ed como en Mail Station y Synology Calendar. Ya se han publicado correcciones para PHP a partir de la versi\u00f3n 7.4, adem\u00e1s de para Mail Station y Synology Calendar. PHP 7.3 no recibir\u00e1 ninguna correcci\u00f3n. La empresa tambi\u00e9n se\u00f1ala espec\u00edficamente que no es posible acceder desde el exterior al componente PHP integrado en su sistema operativo, por lo que el riesgo de ataque es muy bajo.<\/p>\n

ASUSTOR<\/h3>\n

ASUSTOR tambi\u00e9n ha confirmado oficialmente ambas vulnerabilidades<\/a> y ha eliminado de inmediato los paquetes PHP 7, 7.3, 7.4 y 8.1 de App Central. La empresa recomienda realizar inmediatamente una copia de seguridad de los datos, eliminar los paquetes de PHP antiguos y utilizar PHP 8.3 o 8.4.<\/p>\n

Unraid<\/h3>\n

En la actualizaci\u00f3n del sistema operativo publicada ayer<\/a>, PHP se ha actualizado a la versi\u00f3n 8.4.27, que incluye correcciones para estas vulnerabilidades. Los desarrolladores recomiendan a todos los usuarios actualizar a Unraid 7.3.4. Los contenedores con su propia instalaci\u00f3n de PHP deben actualizarse por separado: la nueva versi\u00f3n de PHP del sistema operativo no sustituye a PHP dentro de los contenedores.<\/p>\n

En el momento de la publicaci\u00f3n, no hab\u00edamos encontrado confirmaci\u00f3n p\u00fablica por parte de otros grandes fabricantes, como TerraMaster, UGREEN, Buffalo o Western Digital, de que sus dispositivos est\u00e9n afectados por estas vulnerabilidades; \u00fanicamente hab\u00eda conversaciones de usuarios en foros.<\/p>\n

Sin embargo, que hasta ahora solo algunos fabricantes de NAS hayan confirmado el problema no garantiza que tus dispositivos sean seguros, especialmente si son bastante antiguos o pertenecen a un fabricante poco conocido o que ya no existe. En ese caso, desconecta primero los dispositivos de Internet, manteni\u00e9ndolos accesibles \u00fanicamente desde la red local, y despu\u00e9s investiga si son vulnerables.<\/p>\n

Almacenamiento en la nube Nextcloud<\/h3>\n

Nextcloud es una plataforma gratuita y de c\u00f3digo abierto para crear tu propio almacenamiento en la nube, y funciona como alternativa a Google Drive, Dropbox y Microsoft OneDrive. Permite almacenar y sincronizar archivos entre dispositivos, compartirlos con otros usuarios y trabajar con documentos, fotos, calendarios y contactos. Los datos pueden almacenarse en tu propio servidor o NAS en lugar de en los servidores de una empresa externa.<\/p>\n

Si almacenas datos importantes en Nextcloud, comprueba c\u00f3mo est\u00e1 configurada tu instancia en la nube. Si utilizas Nextcloud All-in-One<\/em>, actualiza a la versi\u00f3n 14.4.1<\/a>, en la que la vulnerabilidad ya se ha corregido.<\/p>\n

Si tu instalaci\u00f3n de Nextcloud est\u00e1 configurada de otra forma, tendr\u00e1s que actualizar PHP por tu cuenta en el dispositivo o servidor.<\/p>\n

C\u00f3mo proteger tus dispositivos y datos<\/h2>\n