Falla de PHP: qué preguntarle hoy a tu hosting
Unos 1.500 servidores uruguayos siguen con versiones vulnerables de PHP. Las tres preguntas para mandarle a quien te maneja el sitio y qué respuesta no sirve.
Cifras clave — falla de PHP en Uruguay
Esta semana Agesic bajó a propósito varios sitios del Estado uruguayo: Corte Electoral, Ministerio del Interior, Salud Pública, Mides, Turismo y MTOP. No fue un ataque. Fue una medida preventiva mientras aplicaban las actualizaciones de seguridad de PHP, el lenguaje con el que está hecho buena parte de internet.
Si tu empresa tiene una web, una tienda en línea o un sistema de gestión propio, hay buenas chances de que corra sobre PHP. El 68% de los sitios uruguayos están hechos con eso.
Ese número sale de un relevamiento de WMTips que cita Andrés Gómez, de la empresa uruguaya de ciberseguridad Nexa, según El Observador. Si querés entender qué es PHP sin tecnicismos, BBC Mundo lo explicó esta semana.
Qué pasó y por qué el Estado apagó sus propios sitios
Son dos fallas, bautizadas PHP2Shell. Permiten que alguien ejecute código en un servidor web desde internet sin usuario ni contraseña. Dicho en criollo: tomar el control de la máquina donde vive tu página.
Los analistas Santiago Pérez y Yago Méndez, del grupo independiente Team Capybara, contaron que las dos fallas llevaban 14 años escondidas en el código. El proyecto PHP publicó las correcciones el miércoles 21.
Las versiones que ya traen el arreglo son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Todo lo anterior a esas versiones, en cada rama, está afectado, según el aviso de CERT-EU.
Agesic aclaró que la baja fue preventiva y previó tenerlos restablecidos antes del fin de semana.
Un dato que conviene no estirar: al momento de escribir esto no hay explotación exitosa confirmada públicamente en Uruguay. Hay intentos reportados en el mundo y pruebas de concepto circulando, que es distinto.
Para un comercio con tienda en línea el riesgo no es solo que se caiga la página. En un servidor tomado quedan expuestos los datos de tus clientes y los pedidos. Ese es el costo que justifica mandar el mensaje hoy y no el lunes.
No todo sitio hecho en PHP está expuesto
Esto es lo más importante del tema y lo que menos se dice. Que tu página esté hecha en PHP no significa que esté abierta.
Depende de dos cosas. La versión que corre el servidor, y si quien lo administra ya aplicó la actualización. Muchas PYMEs tienen la web en un hosting compartido. Es un servidor donde conviven muchos sitios y donde el proveedor se encarga del mantenimiento. Lo mismo pasa con las plataformas de comercio electrónico administradas. En esos casos el parche suele llegar sin que tengas que hacer nada.
Por eso el camino no es salir a contratar una auditoría. Es preguntar primero. Una revisión que no necesitás cuesta plata y no te deja más tranquilo que una respuesta clara de tu proveedor.
Las tres preguntas para mandarle al que te maneja el sitio
No hace falta que entiendas de servidores. Hace falta que preguntes bien y que entiendas la respuesta.
Cómo chequear si tu sitio quedó expuesto por la falla de PHP
Tres preguntas para mandarle por WhatsApp a tu hosting, tu desarrollador o tu agencia.
Paso 1 — Preguntá qué versión de PHP corre el sitio
Pedí el número exacto, con los tres dígitos: no sirve PHP 8. Si la respuesta es 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o algo posterior, está al día. Si es una rama 8.1 o anterior, ahí hay un problema de fondo que va más allá de esta falla.Paso 2 — Preguntá si ya se aplicó la actualización de esta semana
La pregunta concreta es si el servidor ya tiene el parche de seguridad de PHP publicado el miércoles 21 de octubre. Que el hosting diga que actualiza todo automáticamente no alcanza como respuesta: pedí la confirmación de que en tu sitio ya está.Paso 3 — Pedí la fecha y dejala por escrito
Si ya actualizaron, pedí el día. Si todavía no, pedí la fecha en que lo van a hacer y qué medida provisoria tomaron mientras tanto. El mensaje de WhatsApp o el correo con esa respuesta es tu respaldo si después pasa algo.
Qué respuesta sirve y cuál no
Una respuesta útil tiene número de versión y fecha. Por ejemplo: el sitio corre PHP 8.3.36 y el parche se aplicó el jueves 22.
La que no sirve es la que no se puede chequear. Entran en esa bolsa el no te preocupes, el estamos monitoreando y el acá nunca pasó nada. Ninguna de las tres dice qué versión corre tu sitio.
Si quien te administra el sitio no sabe contestar la primera pregunta, el problema no es esta falla. Es que nadie está mirando tu servidor, y la próxima vez va a pasar lo mismo. En ciberataques en Uruguay 2026 está el diagnóstico de fondo para una empresa sin informático propio. Y en el récord de credenciales filtradas, la parte de contraseñas: el otro frente que queda abierto.
Qué significa esto para tu empresa
El trabajo de esta semana es un mensaje y una respuesta guardada. Nada más.
Lo que sí deja esta falla es una pregunta más larga. Quién es el responsable de que el software de tu empresa esté actualizado, y cada cuánto lo revisa. Si la respuesta es nadie en particular, ya sabés qué contratar.
Si estás evaluando a quién dejarle el mantenimiento del sitio, conviene ver qué proveedores hay hoy en el mercado local antes de decidir.
Conly · App B2B
Descubrí la mejor opción para tu negocio en Conly
Así se explora en Conly. Estas tarjetas son una demostración; los proveedores reales los ves al registrarte, gratis.
Preguntas frecuentes
¿Cómo sé qué versión de PHP usa mi sitio?
Mi web está en un hosting compartido, ¿tengo que hacer algo?
¿Mi tienda en línea está afectada?
¿Hubo ataques exitosos en Uruguay?
¿Qué hago si mi sitio corre una versión vieja que ya no recibe parches?
Última actualización: