Cómo comprobar si tu web está hackeada después de PHP2Shell

¿Hay indicadores oficiales de intrusión por PHP2Shell?

PHP no ha publicado, a fecha de 22 de octubre de 2026, una lista definitiva de indicadores específicos de PHP2Shell. En un hilo de seguimiento en X, los investigadores de Wiz sugirieron vigilar peticiones multipart inusuales seguidas de errores de límite de memoria o respuestas HTTP 500, cookies de sesión PHPSESSID malformadas y procesos de PHP que se reinician con una frecuencia anormal. Varias agencias nacionales aconsejan también buscar puertas traseras. Trata estas señales como pistas que investigar, no como pruebas. Las comprobaciones de abajo buscan las señales habituales de que alguien ha tomado el control de una web.

¿Qué hago antes de empezar a comprobar?

Instala el parche de PHP2Shell y reinicia PHP. Revisar una web que sigue siendo vulnerable solo te informa del pasado. Si ves daños en curso (desfiguración, spam, redirecciones), desconecta la web primero.

¿Cómo compruebo si mi web está hackeada?

Busca cambios que no hiciste tú:

1. Administradores que no reconoces. En WordPress, abre Usuarios y filtra por Administrador. Revisa también las cuentas del hosting, de FTP/SFTP y de la base de datos.
2. Archivos PHP donde no deberían estar. Las carpetas de subidas, como wp-content/uploads, deberían contener imágenes y documentos. Un archivo .php ahí es una señal de alarma seria.
3. Archivos modificados recientemente que no tocaste. Ordena los archivos por fecha de modificación en tu gestor de archivos y fíjate bien en todo lo que haya cambiado desde que se anunciaron las vulnerabilidades.
4. Plugins, temas o plugins obligatorios (must-use) que no instalaste. Revisa la carpeta wp-content/mu-plugins, que no aparece en la lista normal de plugins.
5. Tareas programadas que no creaste. Revisa las tareas cron en el panel de control de tu hosting; los atacantes las usan para reinstalar puertas traseras.
6. Avisos desde fuera. Alertas de tu proveedor de hosting, problemas de seguridad en Google Search Console o quejas por spam o redirecciones desde tu dominio.
7. Registros (logs), si los tienes: peticiones inusuales, picos de errores o caídas en torno a la fecha de publicación.

¿Un archivo PHP desconocido demuestra que fue PHP2Shell?

No. Un archivo, una cuenta o una redirección sin explicación es una prueba de que hay un problema, no de qué vulnerabilidad lo causó. Investígalo en cualquier caso.

He encontrado algo raro. ¿Qué hago?

Actúa en este orden y guarda una copia antes de borrar nada:

1. Desconecta la web o bloquea el acceso público.
2. Conserva las pruebas: copias de los archivos sospechosos, registros y una instantánea, anotando las horas.
3. Cambia todas las contraseñas desde un dispositivo limpio: hosting, FTP/SFTP, base de datos, todas las cuentas de administrador y las claves secretas y tokens de API de la web.
4. Restaura una copia de seguridad anterior a la intrusión, o reconstruye la web desde fuentes de confianza, y actualiza PHP, la aplicación, los temas y los plugins antes de volver a publicarla.
5. Avisa a tu proveedor de hosting y a quien tengas obligación de notificar si pueden estar implicados datos personales o de pago.

¿Instalar el parche echa al atacante?

No. El parche cierra el agujero; no elimina una puerta trasera, una cuenta maliciosa ni credenciales robadas. Como la investigación describe también filtraciones de memoria, que la revisión de archivos salga limpia tampoco descarta que se hayan expuesto datos.

¿Debo pedir ayuda profesional?

Sí, si la web gestiona pagos o datos personales, si no encuentras una copia de seguridad limpia, si el problema vuelve después de limpiar o si no tienes claro hasta dónde llegó la intrusión. Un servicio profesional de respuesta a incidentes puede delimitar bien los daños.

¿Mi web fue hackeada solo porque PHP era vulnerable?

No necesariamente. Cloudflare informó de intentos de ataque, pero en las fuentes que hemos revisado a fecha de 22 de octubre de 2026 no se ha confirmado ninguna intrusión con éxito. Eso tampoco demuestra que tu web esté limpia. Compruébalo en lugar de suponerlo. Vuelve al comprobador PHP2Shell.

¿Qué fuentes respaldan esta página?

• Wiz Research: recomendaciones de vigilancia (hilo en X)
• Wiz Research: investigación original
• CISA: guías de respuesta a incidentes y vulnerabilidades
• CISA/FBI: aviso con recomendaciones de defensa contra web shells
• The PHP Group: aviso de seguridad
• Cloudflare: protecciones del WAF