Es muy probable que ahora mismo tu web sea vulnerable. Los centros...
Jota Vaquerizo@JotaVaquerizo
18 views
Oct 22, 2026
~2 min read
Advertisement
1
Es muy probable que ahora mismo tu web sea vulnerable. Los centros de ciberseguridad de medio mundo llevan dos días avisando de un fallo que permite a un atacante entrar en tu servidor y llevarse todo lo que haya dentro. Debería estar abriendo telediarios. La responsabilidad es tuya aunque no supieras nada. Te cuento lo que está pasando y qué hacer si te roban datos. Hilo 🧵
2
No se trata de grandes empresas. Hablo del 70% de las webs: la clínica, la academia, la gestoría, la tienda online o el negocio que montó su web con IA. Incluso la web del Kit Digital. Casi todas funcionan con PHP, y el fallo afecta a versiones de los últimos catorce años. Ya hay gente usándolo para atacar.
3
Es muy grave. En Reino Unido, Francia, Países Bajos o Estados Unidos, las autoridades han salido en tromba a pedir que se actualice ya, y que se desconecte el servidor si no es posible. Hasta la primera ministra de Japón lo ha pedido en redes. En España, el aviso del INCIBE está en una sección de alertas de su web que, lógicamente, desconocemos una mayoría.
4
Importante: para la ley, quien tiene la web es responsable de los datos que guarda. El RGPD te obliga a protegerlos según el estado de la técnica. Con un fallo público y un parche disponible, decir "yo no sabía nada" no te va a librar. Y que la web te la lleve una agencia o un hosting no traslada la responsabilidad: sigue siendo tuya.
5
Por eso hoy toca preguntar, por escrito, a quien te mantiene la web si está protegida contra PHP2Shell. En el caso de que no sea así, ordena desconectar el servidor hasta que actualicen. Ese correo, con su respuesta, es tu prueba de que actuaste con diligencia. Si no te contestan, tienes un problema que te conviene saber hoy y no dentro de un mes.
6
Si te roban datos de personas, tienes 72 horas desde que lo sabes para notificarlo a la AEPD. Si el riesgo para los afectados es alto, también tienes que avisarles a ellos. Y aunque no tengas que notificar, la ley te obliga a dejar constancia de lo ocurrido. No notificar a tiempo es una infracción grave.
7
También eres víctima. Entrar en un sistema ajeno es delito (art. 197 bis del Código Penal), así que si te pasa denúncialo ante la Policía o la Guardia Civil. Esa denuncia además protege tu posición frente a la AEPD y frente a tus clientes.
8
Esto no va de saber informática, va de cumplir la ley y proteger a la gente que te confió sus datos. Si conoces a alguien con un negocio y una web, pásale este hilo hoy: puede ahorrarle un disgusto serio. Gracias a @naroh, que me lo explicó con una claridad que ya quisieran algunas instituciones. Síguele.