Esta semana ha saltado una alerta internacional por dos vulnerabilidades críticas en PHP, el lenguaje en el que funcionan millones de webs, entre ellas todas las que usan WordPress. La han difundido la NSA y el FBI de Estados Unidos y, en España, el Incibe, y varios gobiernos europeos han desconectado temporalmente sus páginas por precaución, según [informa RTVE](https://www.rtve.es/noticias/20261022/fallos-criticos-php2shell-vulnerabilidades-servidores-alerta-ciberseguridad/17277748.shtml).
Si tienes una web en aMarte, no estás expuesto a este fallo: nuestras webs no funcionan con PHP.
Qué ha pasado
Los dos fallos, conocidos como PHP2Shell, son el CVE-2026-109618 y el CVE-2026-109619. Ambos tienen una puntuación de 9,2 sobre 10 en la escala CVSS v4.0. Permiten ejecutar código en un servidor de forma remota y sin identificarse, de modo que un atacante podría acceder a los archivos y a las bases de datos o alterar la web. Uno nace de errores al gestionar la memoria con ciertas peticiones y el otro de que el sistema reutiliza información interna que no se actualiza entre una petición y la siguiente.
El riesgo es especialmente alto en servidores con Apache y mod_php, aunque también hay vías de ataque con PHP-FPM según cada instalación. El Incibe ha avisado de que ya se han registrado ataques antes de que se publicaran las actualizaciones.
Por qué ha tenido tanto impacto
PHP está presente en cerca del 70% de las webs en las que se puede identificar el lenguaje, y es la base de WordPress, que mueve alrededor del 40% de los sitios de Internet. Una misma vulnerabilidad sin corregir pone en riesgo a muchísimos servidores a la vez. Por eso Alemania, Francia, Bélgica, Finlandia o Chequia han retirado páginas públicas de forma preventiva mientras aplicaban los parches.
Por qué tu web en aMarte no está expuesta
Las webs y tiendas de aMarte se construyen con tecnologías basadas en JavaScript, como Next.js y Astro, y se sirven desde la infraestructura en la nube de nuestro proveedor. No hay PHP en ellas, ni un servidor Apache con mod_php ni PHP-FPM que un atacante pueda aprovechar con estos fallos. Tampoco tienes que instalar ni actualizar nada por tu cuenta, porque la plataforma la mantenemos nosotros.
Esto no significa que una web esté libre de riesgos en general: cualquier software puede tener vulnerabilidades, y por eso seguimos de cerca las alertas que afectan a nuestra plataforma.
Qué tienes que hacer tú
Si tu web está en aMarte, nada para esta alerta. Si mantienes otra web con WordPress u otro software en PHP, por ejemplo una web anterior o un blog en otro hosting, las agencias recomiendan lo siguiente:
* Comprobar qué versión de PHP usa cada servidor y actualizar cuanto antes a una versión corregida. * Vigilar comportamientos extraños, como procesos de PHP que abran terminales de comandos o descarguen archivos de forma inesperada. * Si no puedes actualizar un servidor expuesto a Internet, aislarlo de la red pública hasta que esté protegido.
Si quieres que revisemos tu web anterior o valorar su migración a aMarte, escríbenos y lo vemos contigo.