Alerta mundial de seguridad web
Se descubrió una falla grave en la tecnología con la que funciona la mayoría de las páginas web, incluido WordPress. Por esa falla, alguien puede meterse a tu página sin necesitar tu contraseña y usarla a su antojo:
¿Tu hosting está con alavista.mx? Ya parchamos tu servidor, sin costo.
Pero un parche es como una curita: cierra esta falla, no las que vienen. Te explicamos en 3 minutos cómo dejar de preocuparte por esto.
Ejemplo ilustrativo. Es lo que suele pasar con una página hackeada: el atacante publica sus propias páginas bajo tu dominio.
Comunicado para clientes de desarrollo web de alavista.mx · 23 de octubre de 2026 · Zapopan, Jalisco
Así se llama la falla
PHP2Shell
Dos fallas críticas en PHP, el motor con el que funcionan WordPress y millones de sitios.
1 · El problema
Piensa en tu sitio web como un auto. El diseño, los textos y las fotos son la carrocería; PHP es el motor que lo hace funcionar dentro del servidor. Esta vez la falla no estaba en la carrocería de tu sitio, sino en el motor que usan millones de sitios en todo el mundo. Por eso, aunque un sitio estuviera bien hecho, podía quedar expuesto.
La falla recibió el nombre de PHP2Shell. La encontraron investigadores de seguridad apoyados por inteligencia artificial (Wiz, OpenAI y Calif). Que una IA ayude a encontrar fallas que llevaban más de una década ocultas cambia las reglas: lo que antes tardaba años en descubrirse ahora puede tardar semanas, y los atacantes también usan estas herramientas.
El 21 de octubre de 2026 se corrigieron dos fallas críticas en PHP que permitían tomar el control de un servidor sin contraseña.
Aplicamos el parche en los servidores donde alojamos tu sitio. Sin costo para ti, por esta primera ocasión.
El parche no es definitivo: vendrán otras fallas. Te proponemos dos caminos.
Investigadores apoyados por IA encuentran y reportan las fallas al equipo de PHP.
Amazon detecta el primer intento de ataque, cuatro días antes del parche.
Los detalles se filtran en redes antes de la fecha planeada.
PHP publica las versiones corregidas. Gobiernos piden parchar o desconectar.
Se reportan intentos de ataque a gran escala en todo el mundo.
Identificadores CVE-2026-109618 (ejecución remota de código por corrupción de memoria al manejar condiciones de falta de memoria, OOM) y CVE-2026-109619 (ejecución remota de código por estado global obsoleto, tipo use-after-free). Ambas CVSS v4.0 9.2, explotables sin autenticación. Afectan cualquier instalación de PHP que atienda peticiones web (PHP-FPM, Apache con mod_php, php-cgi, LiteSpeed, FrankenPHP); el mayor riesgo está en Apache con mod_php. Corregidas en 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP 8.1 y anteriores ya no reciben versiones oficiales (solo parches de código limitados para 7.4, 8.0 y 8.1). PHP 8.2 deja de recibir parches de seguridad el 31 de diciembre de 2026. Fuentes: [1] [16] [17].
2 · El riesgo
Con esta falla, un atacante puede ejecutar sus propias instrucciones en el servidor. En la práctica, esto es lo que suele pasar con un sitio comprometido:
Casinos y apuestas, contenido para adultos, venta de ropa china o réplicas, farmacias falsas. Google las indexa bajo tu dominio. Se le llama SEO spam.
Quien entra a tu sitio termina en páginas de fraude, apuestas o descargas con virus, sin que tú lo notes.
Nombres, teléfonos y correos de tus clientes y prospectos, que luego se usan para estafas.
Tu dominio cae en listas negras y tus propios correos empiezan a llegar a la bandeja de spam.
Un acceso escondido (backdoor) para volver a entrar aunque después se actualice el servidor.
Muchas infecciones muestran el spam solo a Google y no a ti. El sitio “se ve bien”, pero tu posicionamiento ya está dañado.
Consecuencias para tu negocio: Google puede marcar tu sitio como peligroso, pierdes posiciones en búsquedas, el proveedor de hosting puede suspenderlo, se daña tu reputación y puedes enfrentar obligaciones legales por la fuga de datos personales de tus clientes.
El SEO spam es de las infecciones más comunes en sitios hackeados: según Sucuri, la variante conocida como Japanese keyword hack fue el malware más detectado en su reporte de 2023 (10.07% de los sitios infectados). Suele combinarse con cloaking (mostrar contenido distinto a Googlebot) y webshells para mantener el acceso. Fuente: [23].
2 · El riesgo
Gobiernos, bancos e instituciones de todo el mundo emitieron alertas y tomaron medidas de emergencia. Estos son algunos ejemplos documentados:
Pidieron actualizar de inmediato o desconectar de internet los servidores que no puedan parcharse. [8]
Instruyó a bancos y aseguradoras parchar de inmediato o desconectar. [9]
Aviso de seguridad 2026-018 sobre las fallas críticas. [2]
Llamó a identificar todos los sistemas con PHP y actualizar. [3]
Alerta AL26-026; advirtió que ya circulaba código de ataque. [4]
Emitió una alerta crítica de “actúa ahora”. [7]
Elevaron el aviso a crítico; CCN-CERT pidió actualizar o desconectar servicios. [6]
Chile emitió la alerta AVC26-00740; Colombia contó 8,699 servicios con PHP expuestos. [12]
Medidas reales: Países Bajos, Finlandia y Francia desconectaron sitios de gobierno por precaución. En Japón, Mizuho y otros bancos suspendieron servicios en línea. Wikipedia e Internet Archive apagaron sistemas temporalmente mientras actualizaban. [10] [11]
Lo que viene: la versión 8.2 de PHP deja de recibir parches el 31 de diciembre de 2026, así que muchos sitios parchados esta semana tendrán que volver a migrar en unas 10 semanas. Los parches y migraciones serán recurrentes para todos.
3 · La solución
Tu sitio se entregó funcionando y seguro con la tecnología vigente cuando lo aprobaste. Lo que cambió es el entorno: hoy la IA encuentra fallas más rápido de lo que se pueden corregir, y un sitio ya no se mantiene seguro “una sola vez”.
Es el espacio donde se guarda el código de tu sitio. Aquí aplicamos el parche de PHP de forma preventiva.
Parchado sin costoEs la dirección con la que te encuentran en internet (por ejemplo, tunegocio.com). No se vio afectado por esta falla.
Sin cambiosSe desarrolló, aprobó y publicó con las versiones seguras de su momento. Actualizarlo o migrarlo ante nuevas amenazas es un trabajo nuevo que requiere tu autorización.
Requiere tu decisión3 · La solución
Un sitio en WordPress depende de muchas piezas que hay que actualizar todo el tiempo: PHP, WordPress, el tema y cada plugin. Por eso proponemos migrar a Astro, una tecnología moderna que publica tu sitio como páginas ya listas, sin un motor PHP trabajando en cada visita.
| Tema | WordPress (actual) | Astro (propuesta) |
|---|---|---|
| Cómo funciona | El servidor arma cada página con PHP en cada visita. | Las páginas se generan una vez y se publican como archivos listos. No hay PHP ejecutándose. |
| Ante PHP2Shell | Expuesto mientras el servidor no esté actualizado. | Esta falla no tiene por dónde entrar. |
| Plugins de terceros | Dependes de decenas. En 2025 aparecieron 11,334 fallas nuevas en el ecosistema WordPress (+42%); el 91% en plugins y el 46% sin corrección al hacerse públicas. | No usa plugins en el servidor. |
| Panel de acceso | Panel público (/wp-admin), blanco frecuente de intentos de acceso. | Sin panel público expuesto. |
| Mantenimiento | Actualizaciones mensuales que pueden romper el diseño, licencias de plugins y respaldos. | Mínimo. Cambios de contenido a solicitud. |
| Velocidad y Google | Más lento; depende de caché y optimizaciones. Solo el 48% de los sitios WordPress aprueba las Core Web Vitals de Google en celular. | 2.8x Más sitios con servidor rápido que WordPress Carga muy rápida, lo que favorece tu posicionamiento. El 71% aprueba las Core Web Vitals de Google en celular. |
| Costo | Mensualidad de mantenimiento permanente. | Inversión única de migración. |
Dato de plugins: Patchstack, State of WordPress Security in 2026 [21]. Datos de velocidad: HTTP Archive con visitas reales de Chrome, celular, septiembre de 2026; “servidor rápido” significa que responde en 0.8 segundos o menos [24].
3 · La solución
Mueve la barra para ver cuánto pagarías en cada camino con el tiempo. Con el descuento, a partir del mes 4 la migración ya te costó menos que el mantenimiento.
Cálculo de referencia en MXN + IVA, con el plan de mantenimiento desde $2,106 al mes y la migración de una landing page con formularios. No considera hosting ni dominio.
4 · Tu decisión
El 20% de descuento termina el miércoles 28 de octubre de 2026 a las 23:59.
Desde $9,675 $7,740 MXN + IVA · landing page con formularios
20% de descuento al confirmar a más tardar el miércoles 28 de octubre de 2026.
El costo final depende del número de páginas de tu sitio.
Cotizar mi migración por WhatsApp$2,106 MXN al mes + IVA · desde
Es un costo recurrente mientras el sitio siga en WordPress.
Quiero el plan mensualPide tu cotización hoy
Escríbenos por WhatsApp o correo. Revisamos cuántas páginas y formularios tiene tu sitio.
Si confirmas a más tardar el miércoles 28 de octubre, aplicamos el 20% de descuento.
Pasamos tu contenido, entradas de blog, catálogo de productos, formularios y lo que haga cada plugin que uses hoy. Si quieres, aprovechamos para rediseñarlo.
Apruebas el resultado y lo publicamos en tu mismo dominio.
Este aviso no significa que tu sitio haya sido atacado. Significa que existía una falla en PHP, el motor con el que funcionan la mayoría de los sitios, y que ya aplicamos el parche en el servidor donde alojamos tu sitio.
No. Fue una medida preventiva sin costo para ti, por esta primera ocasión.
Porque el parche cierra esta falla, pero vendrán otras. Hoy la IA encuentra fallas más rápido de lo que se pueden corregir, y PHP 8.2 deja de recibir parches el 31 de diciembre de 2026, así que muchos sitios tendrán que volver a migrar en unas 10 semanas.
Tu sitio sigue funcionando con el parche actual, pero queda expuesto a la siguiente falla de PHP o de algún plugin. Si prefieres quedarte en WordPress, la opción responsable es el plan de mantenimiento mensual.
Sí. La migración incluye tu contenido, entradas de blog, catálogo de productos y formularios. Lo que hoy resuelven tus plugins (formularios, chat, mapas, analítica) lo integramos directo, sin depender de un plugin expuesto en el servidor.
El precio de referencia es para una landing page con formularios. El costo final depende del número de páginas de tu sitio; te lo confirmamos en la cotización.
Ningún sistema lo es. Lo que hace Astro es reducir drásticamente las piezas que un atacante puede aprovechar: no hay PHP ejecutándose, ni plugins, ni panel público.
Consultas realizadas el 23 de octubre de 2026. La situación sigue evolucionando; las cifras corresponden a lo publicado en esa fecha por cada fuente.
Más de 480 clientes han confiado en nosotros. Esto es lo nuevo que sumamos y lo que hacemos desde siempre.
Más rápidos, más estables y sin plugins expuestos. Migramos tu sitio actual.
Procesos que trabajan solos para que tu equipo gane tiempo y resultados medibles.
Tus clientes agendan, confirman y pagan en un solo lugar, a cualquier hora.
Recorridos Matterport que muestran tus espacios con cada detalle, en tu web y en Google.
Publicidad, branding y crecimiento con un plan claro.
SEO local para que te encuentren primero.
SEO, Google Ads y Meta Ads en una sola estrategia.
Contenido con propósito que crea comunidad.
Logos, identidad y materiales que comunican.
Foto y video del concepto a la postproducción.
Sitios a la medida, rápidos y funcionales.
Tu negocio visible en Google Maps.
Un lugar seguro para tu código y tu dirección web.
