Comprobación de seguridad web
Comprobación de seguridad web
Compruebe solo sitios que le pertenezcan o que tenga autorización para analizar. Esta herramienta solo lee lo que una visita normal del navegador ya ve; nunca envía código de explotación.
¿Preocupado por el susto de seguridad de PHP del que todos hablan? En octubre de 2026 se revelaron dos fallos graves en el propio PHP, apodados PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Como están en el motor de PHP, afectan a cualquier sitio hecho con PHP: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla y más, incluso si su propio código está impecable. Esta herramienta le ofrece una lectura rápida y clara de la parte del problema que se ve desde fuera, es decir si su web todavía muestra una versión antigua de PHP, además del estado general de seguridad.
¿Cuánto debe preocuparse? Los fallos tienen una puntuación alta (9,2 sobre 10) y, en el peor caso, podrían permitir a un atacante ejecutar código en el servidor sin iniciar sesión. Pero la firma de seguridad para comercio electrónico Sansec actualizó su guía el 22 de octubre: los ataques masivos automatizados son menos probables de lo que se temía, los exploits públicos no funcionan contra una instalación normal de PHP y no necesita poner su tienda fuera de línea. En lo único en que todos coinciden es sencillo: actualice PHP. Este problema no se arregla desde el código de su tienda, el tema ni los plugins, sino actualizando PHP en el servidor o pidiéndolo a su proveedor de alojamiento.
Qué le dice esta herramienta sobre su sitio. Hace una petición normal, igual que un navegador, y convierte el resultado en un informe breve con colores: si su versión de PHP es visible y si está anticuada o al final de su vida; si el tráfico va cifrado con un certificado HTTPS válido; si los visitantes se mantienen en la versión segura; si están puestas las cabeceras de protección habituales; y si hay un firewall o CDN como Cloudflare delante. Cada comprobación es pasiva: ningún ataque, solo lee lo que cualquier visitante ya ve. Una versión leída desde fuera es una señal, no un veredicto final: confírmela en el servidor con php -v. Las versiones de PHP corregidas actuales son 8.2.35, 8.3.36, 8.4.27 y 8.5.12; PHP 8.1 y anteriores están al final de su vida y necesitan una actualización o un paquete retroportado de su alojamiento.
- El fallo de PHP de octubre de 2026, en claro: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) es un fallo en el propio PHP, así que afecta a cualquier sitio con PHP, incluidos Magento, Shopware, WooCommerce y WordPress, por muy limpio que esté su código.
- No cunda el pánico, pero actualice: los ataques masivos son menos probables de lo que se temía y no hace falta cerrar la tienda, pero la solución es actualizar PHP en el servidor (corregidas 8.2.35, 8.3.36, 8.4.27, 8.5.12). No se parchea desde el código de la tienda.
- Vea la salud de su PHP de un vistazo: la herramienta muestra si su versión de PHP es pública y si parece anticuada, sin parchear o al final de su vida, lo primero que mira un atacante.
- HTTPS y certificado: confirma que el tráfico va cifrado y que el certificado es válido, de confianza y no está a punto de caducar.
- Cabeceras y firewall: comprueba HSTS, Content-Security-Policy, protección contra clickjacking y MIME-sniffing, y si un WAF/CDN como Cloudflare, Sucuri, Akamai, Fastly o CloudFront le protege.
- Pasivo y privado: una petición normal, sin exploits, no se guarda nada, y puede descargar el resultado en PDF.
¿Cómo uso la comprobación de seguridad web?
Escriba la dirección de su web (por ejemplo example.com) en la casilla y pulse Comprobar. En pocos segundos obtiene un informe en lenguaje claro con un veredicto por colores y una lista de puntos. Con el botón Descargar PDF puede guardarlo.
¿Me dice si estoy expuesto al fallo de PHP de octubre de 2026 (PHP2Shell)?
Le da una primera señal fuerte: si su servidor aún revela su versión de PHP, la herramienta comprueba si esa versión está anticuada, sin parchear o al final de su vida para la corrección de octubre de 2026. No puede confirmar la explotabilidad, que depende de su configuración. La comprobación definitiva es en el servidor: php -v y el changelog del paquete (corregidas 8.2.35, 8.3.36, 8.4.27, 8.5.12). Si la versión está oculta o tras un firewall, la herramienta no puede leerla, así que compruébela en el servidor.
Mi PHP está anticuado, ¿qué hago?
Actualice PHP a una versión compatible y corregida (8.2.35, 8.3.36, 8.4.27 u 8.5.12). Si usa PHP 8.1 o anterior, pase a una rama compatible o pida a su alojamiento un paquete retroportado, y luego reinicie PHP-FPM o Apache. Si su proveedor gestiona PHP, pídale que aplique la actualización de octubre de 2026. Es la medida más eficaz.
Preguntas Frecuentes
¿Esto es un escáner de vulnerabilidades?
No. Nunca envía exploits ni intenta activar una vulnerabilidad. Solo lee las cabeceras de respuesta HTTP y el certificado TLS que cualquier navegador ya recibe, y los explica. Para una comprobación definitiva de un fallo concreto como PHP2Shell, siga el aviso oficial y pruebe en el servidor.
¿Tengo que cerrar mi tienda por PHP2Shell?
Según la actualización de Sansec del 22 de octubre, no. La explotación masiva es menos probable de lo que se temía y los exploits públicos no funcionan contra una instalación normal de PHP. Lo correcto es actualizar PHP a una versión corregida, no cerrar la tienda.
La herramienta no puede leer mi versión de PHP, ¿es malo?
Normalmente lo contrario. Muchos servidores ocultan su versión con expose_php=Off o están tras un firewall que bloquea peticiones automatizadas, ambas cosas buenas para la seguridad. Si la versión no se lee desde fuera, confírmela en el servidor con php -v.
Mi PHP aparece como fin de vida, ¿y ahora?
PHP 8.1 y anteriores ya no reciben actualizaciones oficiales de seguridad (a 2026) y no hay corrección oficial del fallo de octubre de 2026 para esas ramas. Pase a una rama compatible (8.2 o posterior) o pida a su alojamiento un paquete retroportado. Usar una versión al final de su vida deja sin parchear fallos conocidos, es lo más importante.
Comprobación de seguridad web
Compruebe solo sitios que le pertenezcan o que tenga autorización para analizar. Esta herramienta solo lee lo que una visita normal del navegador ya ve; nunca envía código de explotación.
¿Preocupado por el susto de seguridad de PHP del que todos hablan? En octubre de 2026 se revelaron dos fallos graves en el propio PHP, apodados PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Como están en el motor de PHP, afectan a cualquier sitio hecho con PHP: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla y más, incluso si su propio código está impecable. Esta herramienta le ofrece una lectura rápida y clara de la parte del problema que se ve desde fuera, es decir si su web todavía muestra una versión antigua de PHP, además del estado general de seguridad.
¿Cuánto debe preocuparse? Los fallos tienen una puntuación alta (9,2 sobre 10) y, en el peor caso, podrían permitir a un atacante ejecutar código en el servidor sin iniciar sesión. Pero la firma de seguridad para comercio electrónico Sansec actualizó su guía el 22 de octubre: los ataques masivos automatizados son menos probables de lo que se temía, los exploits públicos no funcionan contra una instalación normal de PHP y no necesita poner su tienda fuera de línea. En lo único en que todos coinciden es sencillo: actualice PHP. Este problema no se arregla desde el código de su tienda, el tema ni los plugins, sino actualizando PHP en el servidor o pidiéndolo a su proveedor de alojamiento.
Qué le dice esta herramienta sobre su sitio. Hace una petición normal, igual que un navegador, y convierte el resultado en un informe breve con colores: si su versión de PHP es visible y si está anticuada o al final de su vida; si el tráfico va cifrado con un certificado HTTPS válido; si los visitantes se mantienen en la versión segura; si están puestas las cabeceras de protección habituales; y si hay un firewall o CDN como Cloudflare delante. Cada comprobación es pasiva: ningún ataque, solo lee lo que cualquier visitante ya ve. Una versión leída desde fuera es una señal, no un veredicto final: confírmela en el servidor con php -v. Las versiones de PHP corregidas actuales son 8.2.35, 8.3.36, 8.4.27 y 8.5.12; PHP 8.1 y anteriores están al final de su vida y necesitan una actualización o un paquete retroportado de su alojamiento.
- El fallo de PHP de octubre de 2026, en claro: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) es un fallo en el propio PHP, así que afecta a cualquier sitio con PHP, incluidos Magento, Shopware, WooCommerce y WordPress, por muy limpio que esté su código.
- No cunda el pánico, pero actualice: los ataques masivos son menos probables de lo que se temía y no hace falta cerrar la tienda, pero la solución es actualizar PHP en el servidor (corregidas 8.2.35, 8.3.36, 8.4.27, 8.5.12). No se parchea desde el código de la tienda.
- Vea la salud de su PHP de un vistazo: la herramienta muestra si su versión de PHP es pública y si parece anticuada, sin parchear o al final de su vida, lo primero que mira un atacante.
- HTTPS y certificado: confirma que el tráfico va cifrado y que el certificado es válido, de confianza y no está a punto de caducar.
- Cabeceras y firewall: comprueba HSTS, Content-Security-Policy, protección contra clickjacking y MIME-sniffing, y si un WAF/CDN como Cloudflare, Sucuri, Akamai, Fastly o CloudFront le protege.
- Pasivo y privado: una petición normal, sin exploits, no se guarda nada, y puede descargar el resultado en PDF.
¿Cómo uso la comprobación de seguridad web?
Escriba la dirección de su web (por ejemplo example.com) en la casilla y pulse Comprobar. En pocos segundos obtiene un informe en lenguaje claro con un veredicto por colores y una lista de puntos. Con el botón Descargar PDF puede guardarlo.
¿Me dice si estoy expuesto al fallo de PHP de octubre de 2026 (PHP2Shell)?
Le da una primera señal fuerte: si su servidor aún revela su versión de PHP, la herramienta comprueba si esa versión está anticuada, sin parchear o al final de su vida para la corrección de octubre de 2026. No puede confirmar la explotabilidad, que depende de su configuración. La comprobación definitiva es en el servidor: php -v y el changelog del paquete (corregidas 8.2.35, 8.3.36, 8.4.27, 8.5.12). Si la versión está oculta o tras un firewall, la herramienta no puede leerla, así que compruébela en el servidor.
Mi PHP está anticuado, ¿qué hago?
Actualice PHP a una versión compatible y corregida (8.2.35, 8.3.36, 8.4.27 u 8.5.12). Si usa PHP 8.1 o anterior, pase a una rama compatible o pida a su alojamiento un paquete retroportado, y luego reinicie PHP-FPM o Apache. Si su proveedor gestiona PHP, pídale que aplique la actualización de octubre de 2026. Es la medida más eficaz.
Preguntas Frecuentes
¿Esto es un escáner de vulnerabilidades?
No. Nunca envía exploits ni intenta activar una vulnerabilidad. Solo lee las cabeceras de respuesta HTTP y el certificado TLS que cualquier navegador ya recibe, y los explica. Para una comprobación definitiva de un fallo concreto como PHP2Shell, siga el aviso oficial y pruebe en el servidor.
¿Tengo que cerrar mi tienda por PHP2Shell?
Según la actualización de Sansec del 22 de octubre, no. La explotación masiva es menos probable de lo que se temía y los exploits públicos no funcionan contra una instalación normal de PHP. Lo correcto es actualizar PHP a una versión corregida, no cerrar la tienda.
La herramienta no puede leer mi versión de PHP, ¿es malo?
Normalmente lo contrario. Muchos servidores ocultan su versión con expose_php=Off o están tras un firewall que bloquea peticiones automatizadas, ambas cosas buenas para la seguridad. Si la versión no se lee desde fuera, confírmela en el servidor con php -v.
Mi PHP aparece como fin de vida, ¿y ahora?
PHP 8.1 y anteriores ya no reciben actualizaciones oficiales de seguridad (a 2026) y no hay corrección oficial del fallo de octubre de 2026 para esas ramas. Pase a una rama compatible (8.2 o posterior) o pida a su alojamiento un paquete retroportado. Usar una versión al final de su vida deja sin parchear fallos conocidos, es lo más importante.