Una semana después de los parches de PHP2Shell, la pregunta para un comité de dirección ya no es técnica: es cuánto negocio está expuesto mientras el servidor de la tienda siga sin actualizar.
Qué ha pasado
El 21 de octubre, el proyecto PHP publicó parches de urgencia para dos vulnerabilidades críticas, bautizadas como PHP2Shell. Afectan al propio motor de PHP y permiten a un atacante ejecutar código en el servidor sin necesidad de usuario ni contraseña. Tienen una puntuación de gravedad de 9,2 sobre 10 y afectan a casi todas las versiones de PHP desde la 5.4. Las versiones corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35.
Desde entonces, los intentos de ataque han sido constantes y el 26 de octubre la agencia de ciberseguridad de Estados Unidos las incluyó en su lista de fallos que ya se están explotando. Aun así, más de 32 millones de servicios PHP en el mundo siguen funcionando con una versión vulnerable.
Por qué importa a tu negocio
PHP es la base de WooCommerce, PrestaShop y Magento, las plataformas sobre las que funcionan muchas tiendas online y portales B2B de empresas medianas. Un fallo así no afecta a una función concreta: da acceso al servidor entero. Y en ese servidor están los pedidos, los datos de clientes, las integraciones con el ERP y, en muchos casos, las credenciales de pasarelas de pago y marketplaces.
En nuestra experiencia, el coste real de un incidente de este tipo casi nunca es el técnico. Es el de las horas o días sin vender, el del equipo parado intentando entender qué ha pasado, el de tener que avisar a clientes cuyos datos pueden haberse visto comprometidos y el de la confianza que se pierde. Para una tienda que factura 10.000 € al día, tres días de parada son 30.000 € de ventas que no vuelven, sin contar el resto.
Hay un matiz importante: no basta con tener WordPress, WooCommerce o PrestaShop al día. El parche está en la versión de PHP del servidor, que muchas veces depende del proveedor de alojamiento o de nadie en concreto. Y las versiones anteriores a la 8.2 ya no reciben parches: si la tienda funciona sobre una de ellas, el problema no se arregla con una actualización, sino con un proyecto de migración.
Las tres decisiones que tomaríamos esta semana
1. Saber, no suponer. Pedir hoy al responsable técnico o al proveedor una respuesta por escrito: qué versión de PHP ejecuta cada entorno (la tienda, el entorno de pruebas, el backoffice y las integraciones) y cuándo se ha aplicado el parche.
2. Decidir quién es el dueño de la plataforma. Si nadie sabe responder a la primera pregunta en un día, el riesgo no es PHP2Shell: es que la plataforma de la que depende la facturación online no tiene un responsable claro. Es un buen momento para decidir si ese mantenimiento debe estar dentro de casa o en manos de un equipo con servicio 24×7.
3. Poner fecha a la deuda técnica. Si la tienda funciona con una versión de PHP sin soporte, conviene planificar ahora la actualización o la migración, con presupuesto y calendario, en lugar de esperar al próximo aviso urgente.
Qué haríamos en TRILOGI
En las plataformas que gestionamos, la actualización de PHP forma parte del mantenimiento y se aplica con pruebas previas para no romper integraciones. Cuando una empresa nos pide ayuda en una situación como esta, empezamos por una revisión rápida de versiones, accesos y registros de los últimos días, y a partir de ahí proponemos el plan: parche inmediato, migración si es necesaria y un modelo de mantenimiento que evite volver a depender de la urgencia. Si quieres ver cómo lo hacemos, aquí tienes nuestra plataforma eCommerce gestionada 24×7.
Cada martes, las 5 noticias que importan: suscríbete a la newsletter.
