8 min read
“No model is simply capable of unearthing ‘all bugs’ with simple prompts.” (Ningún modelo es capaz de encontrar “todos los errores” con instrucciones simples.) Esa frase viene de Calif, la firma de seguridad que encontró las dos fallas web que todo el mundo pasó la semana pasada parchando, y es un buen recordatorio: la IA ayudó a convertir un hallazgo viejo en un ataque funcional, pero la solución sigue dependiendo de personas comunes haciendo mantenimiento común. Si el sitio web de tu negocio funciona con WordPress, esta semana esa persona común eres tú.
Aquí tienes una lista tranquila, paso a paso, para quien trabaja por su cuenta y no es desarrollador. Reserva unos 30 minutos y usa un asistente de IA para las partes que suenan técnicas.
Qué es PHP2Shell, en palabras sencillas
PHP es el lenguaje de programación sobre el que está construido WordPress, y una gran parte de la web. Según el reportaje de TechCrunch sobre las fallas, alrededor del 70% de internet expuesto a la web depende de él. El 21 de octubre de 2026, la PHP Foundation reveló dos fallas críticas, registradas como CVE-2026-109618 y CVE-2026-109619 (un CVE es simplemente un número de identificación público para un agujero de seguridad conocido), y publicó los parches ese mismo día (las notas oficiales están en el archivo de noticias de PHP). La agencia de ciberseguridad de Estados Unidos, CISA, emitió una alerta al mismo tiempo.
Por qué esta importa: las fallas permiten ejecutar código de forma remota sin contraseña, es decir, que un desconocido en internet podría correr sus propios comandos en tu servidor web sin iniciar sesión y sin que tú hagas clic en nada. Amazon detectó ataques una semana antes de que salieran los parches, así que se pidió a los equipos de defensa buscar problemas desde el 17 de octubre.
La buena noticia es que WordPress en sí no necesita una actualización especial de plugin para esto. La solución está una capa más abajo, en el software PHP que usa tu empresa de hosting. Tu trabajo es confirmar que esa capa se actualizó y luego revisar que nada se haya colado antes.
Paso 1: Averigua quién es responsable de tu PHP
Esta sola pregunta define cuánto del trabajo te toca.
- Hosting administrado de WordPress (el tipo donde nunca ves un servidor, solo un panel): tu proveedor actualiza PHP por ti. Tu trabajo es confirmar que lo hizo.
- Hosting compartido con panel de control como cPanel: normalmente el proveedor parcha PHP, pero quizás tú eliges la versión en una pantalla llamada “Select PHP Version” o “MultiPHP”.
- Tu propio servidor o VPS (un servidor privado virtual que tú o un freelancer configuraron): nadie lo está parchando a menos que alguien corra las actualizaciones. Trátalo como urgente.
¿No sabes cuál tienes? Mira tu última factura de hosting. Si dice “managed WordPress”, estás en el primer grupo.
Paso 2: Revisa tu versión de PHP sin tocar código
En tu panel de WordPress, ve a Herramientas, luego Salud del sitio, luego la pestaña Información, luego Servidor. Verás una línea llamada “Versión de PHP”. Copia ese número. No necesitas interpretarlo tú; se lo vas a pasar a tu proveedor en el siguiente paso.
Paso 3: Hazle una pregunta directa a tu proveedor (deja que la IA escriba el correo)
La mayoría de los proveedores publicó un aviso la semana pasada, así que revisa primero su página de estado o su blog. Si no encuentras una respuesta clara, envía un mensaje breve a soporte. Aquí tienes una instrucción que puedes pegar en ChatGPT, Claude o Gemini:
“Escribe un ticket de soporte breve y amable para mi proveedor de hosting. Mi sitio de WordPress es [dominio]. Salud del sitio muestra la versión de PHP [número]. Pídeles que confirmen por escrito si mi servidor tiene los parches de la PHP Foundation publicados el 21 de octubre de 2026 para CVE-2026-109618 y CVE-2026-109619, y si vieron alguna señal de explotación en mi cuenta desde el 17 de octubre.”
Pide un sí o un no por escrito. “Nos tomamos la seguridad muy en serio” no es una respuesta. Guarda su respuesta con los registros de tu negocio.
Si administras tu propio servidor, la instrucción cambia: pide a la IA que te explique, para tu configuración exacta (por ejemplo Ubuntu con una versión específica de PHP), cómo instalar las últimas actualizaciones de seguridad de PHP y reiniciar el servidor web. Luego compara sus instrucciones con la documentación de tu proveedor antes de ejecutar nada. Los asistentes de IA pueden inventar comandos, y lo hacen, por eso nuestra guía para principiantes sobre las alucinaciones de la IA recomienda verificar todo lo que vayas a aplicar.
Paso 4: Busca cualquier cosa que haya entrado desde el 17 de octubre
El parche cierra la puerta. No te dice si alguien entró antes. Dedica diez minutos a estas revisiones:
- Usuarios: abre Usuarios, luego Todos los usuarios, y ordena por perfil. Cualquier administrador que no reconozcas es una señal de alerta.
- Plugins: busca plugins que nunca instalaste, sobre todo con nombres vagos o sin descripción.
- Cambios recientes: si tu proveedor ofrece un administrador de archivos, busca archivos modificados en la carpeta principal desde el 17 de octubre que tú no cambiaste.
- Un escaneo gratis: un plugin de seguridad como Wordfence o el escáner gratuito de Sucuri puede comparar tus archivos principales con copias limpias y marcar diferencias.
- Tu sitio en una ventana privada: visita tu página de inicio y tu página de contacto sin sesión iniciada. Redirecciones inesperadas o ventanas emergentes extrañas son una señal clásica de manipulación.
Si algo se ve raro, detente y contacta a tu proveedor antes de borrar nada. Muchos proveedores restauran gratis una copia de seguridad limpia de antes del 17 de octubre durante un evento así.
Paso 5: Usa la IA para leer las partes que asustan, con cuidado
Los resultados de escaneos de seguridad y los registros del servidor están escritos para ingenieros. Aquí un asistente ayuda de verdad. Pega el resumen de un escaneo en tu chatbot y pregunta: “Explica cada advertencia en palabras sencillas, ordénalas por urgencia y dime cuáles debo consultar con mi proveedor.”
Dos reglas lo mantienen seguro:
- Quita los datos secretos antes de pegar. Borra contraseñas, nombres de bases de datos, claves de API y correos de clientes de todo lo que compartas.
- Trata la respuesta como una traducción, no como un veredicto. La IA puede decirte qué significa una advertencia. Solo tu proveedor o un profesional de seguridad puede confirmar si tu sitio está realmente comprometido.
Paso 6: Cambia las llaves, aunque todo se vea limpio
Como los ataques empezaron antes de que alguien supiera de las fallas, vale la pena cambiar tus credenciales como precaución:
- Tu contraseña de administrador de WordPress, y la de cualquier otra persona con cuenta.
- Las contraseñas de aplicación (en Usuarios, luego Perfil), que usan herramientas y automatizaciones para publicar en tu sitio. Revoca las que ya no uses.
- La contraseña de tu cuenta de hosting y, si tienes, tu contraseña de FTP o SFTP.
- Cualquier clave de API guardada en plugins, como pagos, email marketing o plugins de redacción con IA.
Activa el inicio de sesión en dos pasos en tu cuenta de hosting de paso. Toma cinco minutos y bloquea el ataque de seguimiento más común.
Paso 7: Haz que la próxima sea aburrida
PHP2Shell no será la última gran falla web, y la IA está acelerando que los atacantes conviertan fallas conocidas en ataques funcionales. Unos cuantos hábitos convierten la próxima emergencia en algo sin importancia:
- Copias de seguridad diarias automáticas guardadas fuera de tu servidor, con al menos dos semanas de historial.
- Actualizaciones menores automáticas para el núcleo de WordPress y los plugins de confianza.
- Una sección de seguridad de una línea en tu política de IA, que diga qué se puede y qué no se puede pegar en un chatbot. Nuestros consejos rápidos para una política de IA de una página muestran cómo escribirla en una tarde.
- Una instrucción guardada que convierta cualquier titular de seguridad en “¿qué significa esto para mi sitio y qué le pregunto a mi proveedor?”.
Tu sitio web es tu vitrina, y cada vez más también es lo que los asistentes de IA leen cuando los clientes les piden una recomendación. Un sitio hackeado puede desaparecer en silencio de esas respuestas. Es una razón más para mantenerlo sano, como explicamos en cómo un negocio unipersonal consigue que la IA lo recomiende.
Tu resumen de 30 minutos
Revisa tu versión de PHP en Salud del sitio. Consigue un sí por escrito de tu proveedor sobre los parches del 21 de octubre. Busca administradores nuevos, plugins desconocidos y redirecciones raras desde el 17 de octubre. Cambia tus contraseñas y contraseñas de aplicación. Activa copias de seguridad y el inicio de sesión en dos pasos. Listo.
¿Ya te respondió tu proveedor? Cuéntanos en los comentarios qué tan rápido contestó y qué dijo. Así otros emprendedores sabrán cómo se ve una buena respuesta.
Lecturas relacionadas
- ¿Qué es una alucinación de la IA? Guía para principiantes para detectar datos inventados
- Solo el 23% de las pequeñas empresas tiene una política de IA. 9 consejos rápidos para escribir la tuya
- El 45% de los clientes ya pide a la IA que le encuentre un negocio local
- 5 reglas antes de darle una cuenta a un agente de IA
