Tu web tiene una pieza que quizá no has oído nunca, y esta semana se ha vuelto urgente. Se llama PHP, y si tu tienda, tu clínica o tu casa rural tiene una web en WordPress, funciona por debajo.
Piensa en el motor de una furgoneta cuyo capó nunca abres. Lo instaló alguien hace años. Ha ido haciendo su trabajo. Y esta semana el fabricante ha avisado de un fallo grave.
Qué ha pasado esta semana
El 21 de octubre el proyecto PHP publicó correcciones para dos fallos graves. Según el resumen de Simon Willison sobre esa versión, los dos permiten a un desconocido ejecutar sus propias órdenes en el servidor de una web sin tener que iniciar sesión, y las correcciones alcanzan a toda la línea PHP 8. Quienes encontraron el primero, una empresa de seguridad llamada Wiz, cuentan que lo hicieron con modelos de IA. En agosto comprobaron que funcionaba contra WordPress y Drupal, dos de los sistemas de webs más usados. El medio Xataka sitúa PHP detrás de aproximadamente el 70 % de las webs.
Y luego vino lo desordenado. Los identificadores de los fallos se filtraron el 20 de octubre, un día antes del anuncio previsto, y empezó a circular código de demostración. Así que el margen habitual entre "existe la corrección" y "alguien ya usa el fallo" es corto esta vez, y nadie sabe decir cuánto.
Por qué la IA acorta ese margen
Encontrar un agujero en un software viejo y enorme exigía antes semanas de trabajo de una persona experta. Un modelo puede leer el mismo código sin cansarse, probar miles de ideas y comprobar sus propias sospechas. Xataka lo resume bien: más que de un fallo nuevo, se trata de fallos viejos que llevaban años escondidos y ahora cuesta poco encontrar.
Lo que te importa es esto. Quien defiende tiene las mismas herramientas, y las correcciones han llegado. Pero una corrección no sirve de nada hasta que alguien la instala. En un negocio de cuatro personas con una web que montó un primo en 2019, ese "alguien" muchas veces es nadie.
Lo que nadie cuenta sobre las actualizaciones
Cuando WordPress te pide actualizar, actualiza WordPress. No actualiza PHP. PHP vive una capa más abajo, en la máquina de la empresa de alojamiento, y se cambia desde los ajustes del hosting o lo hace la propia empresa.
Por eso una web puede decir "todo al día" y seguir con un motor viejo. Y un motor de una versión que el proyecto PHP ya no mantiene no recibe correcciones, por muy al día que estén tus plugins.
Tres cosas que hacer esta semana
1. Averigua quién se ocupa del motor. ¿Tu empresa de hosting, o el freelance que hizo la web? Si tienes factura de alojamiento, esa empresa es el punto de partida.
2. Hazles una pregunta, por escrito. Algo así: "¿Qué versión de PHP usa mi web y se ha actualizado con la versión de seguridad del 21 de octubre?" Un buen proveedor responde en un día. Tienes derecho a preguntar.
3. Si usas WordPress, echa un vistazo tú misma o tú mismo. En el escritorio, ve a Herramientas, luego Salud del sitio, pestaña Información, y abre la sección Servidor. Ahí aparece la versión de PHP. Haz una captura y envíala con tu pregunta.
Si tu web es solo un folleto, con esto basta por hoy. Si recibe reservas o pedidos, o guarda datos de clientes, pregunta también si alguien ha buscado algo raro desde el 20 de octubre.
Lo que no sé, y tampoco debería contártelo nadie
No he visto los números exactos de las versiones corregidas, así que no voy a inventarte un número al que apuntar. Pide a tu proveedor la última versión de seguridad. Tampoco puedo decirte cuántas webs han sido atacadas, y Xataka dice que todavía nadie lo sabe. Muchas empresas de hosting parchean de forma centralizada y ya lo habrán hecho sin avisarte. Y ninguna lista garantiza que tu web esté limpia. Si sospechas algo, eso es trabajo para un profesional, no para un artículo.
Si quieres el hábito de fondo, dos textos anteriores encajan: ¿Tu Aplicación Hecha con IA Filtra Datos de Clientes? trata de qué preguntar a quien hizo tu software, y ¿Puedes Impedir que la IA Entrene con tu Web? trata de la otra conversación que quizá debas tener con quien aloja tu web.
Un paso pequeño
Envía la pregunta a tu empresa de hosting antes de cerrar esta pestaña. Son dos minutos, no cuesta nada, y recibirás un "ya está hecho" o descubrirás algo que merecía saberse. Con cualquiera de las dos respuestas recuperas tu tarde.