Ciberseguridad
PHP2Shell, PHP 7 y el Kit Digital: 1.424 días sin parches y ni una palabra de seguridad en las bases
PHP2Shell no tiene parche para PHP 8.1 o anterior. Estimamos unas 115.500 webs del Kit Digital expuestas (de 82.900 a 166.700), y las bases pedían 12 meses de hosting y 0 menciones a la seguridad.
- Fecha
- 22 oct 2026
- Lectura
- 8 min
- Resultado
- ≈ 115.500 webs del Kit Digital sin parche • 1.424 días sin parches en PHP 7.4 • 58 versiones de seguridad que no recibió • 0 menciones a la seguridad en las bases
El 21 de octubre de 2026, PHP publicó el parche de PHP2Shell, dos fallos críticos que permiten tomar el control de un servidor sin iniciar sesión. Lo publicó para PHP 8.2, 8.3, 8.4 y 8.5. Para PHP 7 no hay parche, ni lo habrá: lleva 1.424 días sin soporte. Y según W3Techs, el 24 % de las webs cuyo lenguaje se conoce sigue en PHP 5 o 7. Con los datos oficiales del programa, estimamos que unas 115.500 webs del Kit Digital están en una versión de PHP sin parche de PHP2Shell. Mientras tanto, las bases del Kit Digital, que pagaron 2.000 € por web a miles de pymes españolas, exigían 12 meses de hosting, accesibilidad AA y SEO de dos apartados. La palabra «seguridad» no aparece ni una vez.
Esto no es una opinión: son fechas de php.net, el texto del BOE, la base de datos de vulnerabilidades del NIST y las estadísticas de W3Techs. Todo medido el 22 de octubre de 2026 y con el código publicado.
PHP2Shell en dos líneas
- CVE-2026-109618 y CVE-2026-109619, puntuados con un CVSS de 9,2. En Apache con mod_php, una petición sin autenticar puede llevar a ejecutar código en el servidor con la configuración por defecto, según la PHP Foundation.
- Corregidos en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. CISA, la agencia de ciberseguridad de EE. UU., dice que afectan a todas las instalaciones de PHP que sirven peticiones web y recomienda que quien siga en PHP 8.1 o anterior desconecte esos sistemas. Sí: para una web en PHP 7, el consejo oficial es apagarla.
Sobre si ya se están explotando, las fuentes no coinciden. Algunas firmas de seguridad hablan de ataques antes del parche, pero ni CISA ni la PHP Foundation los habían observado al publicar. Da igual: con el código de prueba circulando, es cuestión de días.
El calendario, que es lo más gracioso
| Hecho | Fecha |
|---|---|
| Sale PHP 7.0 | 3/12/2015 |
| Último parche de PHP 7.4 (7.4.33) | 3/11/2022 |
| Fin de soporte de PHP 7.4 | 28/11/2022 |
| Parche de PHP2Shell (solo PHP 8.2 en adelante) | 21/10/2026 |
Y el Kit Digital abrió sus convocatorias con este margen:
| Convocatoria del Kit Digital | Apertura | Días de soporte que le quedaban a PHP 7.4 |
|---|---|---|
| Segmento I (10 a 49 empleados) | 15/03/2022 | 258 |
| Segmento II (3 a 9 empleados) | 02/09/2022 | 87 |
| Segmento III (0 a 2 empleados) | 20/10/2022 | 39 |
Los autónomos y las microempresas del Segmento III, los que menos capacidad tienen para mantener una web, empezaron a pedir la suya 39 días antes de que PHP 7.4 dejara de recibir parches. Cualquier web entregada con PHP 7.4 a partir de ahí nació caducada.
Lo que exigían las bases (y lo que no)
La solución «Sitio web y presencia en internet» del Kit Digital (Orden ETD/1498/2021, BOE-A-2021-21873) dedica 304 palabras a los requisitos:
- 2.000 € de ayuda por web.
- Dominio durante un mínimo de doce meses.
- Hosting durante un mínimo de doce meses.
- Al menos 3 páginas, diseño adaptable a móvil, accesibilidad WCAG 2.1 nivel AA, gestor de contenidos para que la pyme sea autónoma, presencia en directorios y SEO básico de 2 apartados.
Lo que no aparece en esas 304 palabras:
| Término | Menciones |
|---|---|
| Seguridad | 0 |
| Actualización | 0 |
| Mantenimiento | 0 |
| Parche | 0 |
| PHP | 0 |
| Versión | 0 |
El requisito garantizaba que la web se viera bien en el móvil y la leyera un lector de pantalla. Que no te la pudieran secuestrar no entraba en el pliego. Pasados los doce meses, la pyme quedaba con un gestor de contenidos «autogestionable» que nadie le había dicho que había que autogestionar también por dentro.
Lo que PHP 7 se ha perdido desde que murió
| Medida (desde el 28/11/2022) | Cantidad |
|---|---|
| Días sin parches de seguridad en PHP 7.4 | 1.424 |
| Versiones de seguridad publicadas para PHP 8 | 58 |
| CVE corregidos en PHP 8 | 69 |
| De ellos, críticos (CVSS 9 o más) | 9 |
| De ellos, altos (CVSS de 7 a 9) | 14 |
| Avisos de seguridad (GHSA) en el registro de cambios | 62 |
| CVE que la base de datos NVD marca como de PHP 7 | 1 |
Esa última línea parece una buena noticia y es la peor. NVD solo marca 1 de los 69 CVE como de PHP 7, pero no porque los otros 68 no le afecten: nadie analiza ya las versiones abandonadas, así que tampoco se registra si son vulnerables. En PHP 7 no solo no hay parches: tampoco hay a quién preguntar.
¿Cuántas webs del Kit Digital están en peligro?
No hay ningún censo de las versiones de PHP de las webs del Kit Digital, y no vamos a sondear webs de pymes para hacerlo: sería señalar a negocios vulnerables justo el día en que más peligro corren. Pero con datos públicos sí se puede estimar el orden de magnitud.
| Dato | Valor | Fuente |
|---|---|---|
| Soluciones «Sitio web y presencia en internet» concedidas | 343.799 | Red.es, datos a 13/10/2026 |
| Webs que usan PHP, de las que se conoce el lenguaje | 69,3 % | W3Techs |
| Webs con PHP en una versión sin parche de PHP2Shell (8.1 o anterior) | 48,5 % | W3Techs |
Ojo, que PHP2Shell no deja fuera solo a PHP 7: PHP 8.0 y 8.1 tampoco tienen parche. Suman el 13,7 % de las webs con PHP, que se añaden al 34,8 % que sigue en PHP 7 o anterior. Dentro de PHP 7, la más usada es justo la 7.4: el 73,4 %.
| Escenario | Webs del Kit Digital sin parche |
|---|---|
| Bajo: solo las que están en PHP 7 o anterior | 82.900 |
| Central: mismo reparto de lenguajes y versiones que la web mundial | 115.500 |
| Alto: todas en PHP (WordPress u otro gestor en PHP) | 166.700 |
Unas 115.500 webs pagadas con fondos europeos estarían en una versión de PHP para la que el consejo oficial es desconectarlas, con una horquilla de 82.900 a 166.700. Es una estimación, no un recuento, y descansa en tres supuestos:
- Que todas siguen en línea. Muchas se habrán dado de baja al acabar los 12 meses de hosting, y no hay dato público de cuántas. Una web dada de baja no corre peligro, aunque la pyme se quedara sin ella.
- Que reparten lenguajes y versiones como la web mundial. Las del Kit Digital se hicieron de 2022 en adelante: habrá menos en PHP 5 y más en 8.0 y 8.1, que tampoco tienen parche. Y si la mayoría son WordPress, como venden muchos agentes digitalizadores, la cifra se acerca al escenario alto.
- Que nadie las ha actualizado. Algunos hostings suben la versión de PHP por su cuenta, y algún agente digitalizador habrá seguido manteniendo las suyas. Eso baja la cifra.
Qué hacer si tienes una de estas webs
- Mira tu versión de PHP. En WordPress: Herramientas → Salud del sitio → Información → Servidor. O en el panel de tu hosting. Hazlo con tu web, no con la de otros.
- Si es PHP 7 o anterior, no hay parche que instalar: hay que migrar a PHP 8.3 u 8.4. Antes, actualiza el gestor de contenidos, los plugins y la plantilla, y prueba en una copia. Si la web son cuatro páginas y un formulario, plantéate algo mejor: salir de WordPress a una web estática que no tiene PHP que parchear.
- Si no puedes migrar ya, pide a tu hosting un cortafuegos de aplicaciones web (WAF) mientras tanto, o sigue el consejo de CISA: desconéctala hasta poder actualizar.
- Si eres agente digitalizador, revisa tu cartera. Tus clientes no saben qué es PHP, pero saben quién les hizo la web. Para hacer el inventario de golpe, nuestro script gratuito saca a un CSV el CMS y las versiones de cada web de una lista, y cuándo caduca cada dominio. La versión de PHP solo aparece si el servidor la anuncia; la exacta está en el panel del hosting.
Limitaciones
- No medimos webs del Kit Digital: no hay datos públicos y no los vamos a obtener sondeando webs ajenas. La estimación aplica el reparto mundial de W3Techs a las cifras oficiales de Red.es: sirve para el orden de magnitud, no como recuento.
- W3Techs solo cuenta las webs que anuncian su versión de PHP.
- NVD no evalúa las ramas sin soporte: el recuento de CVE que afectan a PHP 7 es un mínimo, no un máximo.
- Las fechas de apertura de las convocatorias vienen de las notas de prensa del Gobierno y de Red.es; las del BOE y php.net son las oficiales.
Cómo repetirlo
medir.py consulta solo fuentes públicas (php.net, NVD, BOE y W3Techs) y estimar.py hace la estimación con los contadores oficiales del Kit Digital. Los dos guardan cada dato en bruto: yeswelab-laboratorio/php7-kit-digital-php2shell-webs-sin-parche en GitHub.
Relacionado
- Cómo dejar WordPress: web rápida y segura con Astro, Cloudflare, una API y PostgreSQL en AWS: la alternativa sin PHP, con plantilla.
- Cómo saber qué tecnología usa una web y quién es su dueño: el inventario de CMS y versiones de tu cartera de webs, en un CSV.
- Por qué el 90 % de las empresas fracasan al meter IA: automatizar una chapuza previa
- Credential confinement: seguridad en agentes de IA
- Crear webs y formularios con IA o sin código
¿Gestionas muchas webs y no sabes cuántas siguen en PHP 7? Te medimos el estado de tu cartera y el coste de migrarla, con datos y sin alarmismo. Encárganos el experimento.