Ataques a WordPress y vulnerabilidad PHP2Shell: lo que HiveProtect bloqueó en nuestros sitios

El 21 de octubre de 2026 se hicieron públicas dos vulnerabilidades críticas de PHP con el nombre de PHP2Shell. En un servidor vulnerable, pueden permitir tomar el control del motor que hace funcionar WordPress. Los robots no esperaron al anuncio oficial: desde el 18 de octubre, nuestros propios sitios recibían ataques a WordPress diseñados según el modelo de esta combinación. HiveProtect los detuvo todos.

Protegemos nuestros propios sitios WordPress con HiveProtect. Por eso abrimos nuestros registros y hicimos el recuento: esta es la tipología de los ataques a WordPress que recibimos, lo que HiveProtect bloqueó y cómo. Para que nuestras reglas sigan siendo eficaces, no publicamos ni sus umbrales ni sus firmas.

Ataques a WordPress: más de 448 000 solicitudes bloqueadas en 3 días

Del 20 al 23 de octubre, en plena actualidad de PHP2Shell, nuestros sitios protegidos por HiveProtect bloquearon más de 448 000 solicitudes. Más de 425 000 fueron descartadas antes incluso de llegar a nuestros servidores, mediante reglas de filtrado situadas antes de ellos para aliviar su carga. El resto llegó hasta nuestros servidores, donde HiveProtect tomó el relevo.

En una semana completa, del 16 al 23 de octubre, HiveProtect detuvo en nuestros servidores 46 325 solicitudes, es decir, más de 6600 al día. No se trata de visitantes extraviados: 36 293 procedían de atacantes ya bloqueados de forma permanente por HiveProtect, casi todas rechazadas por el propio servidor web, antes incluso de que PHP arrancara; 8928 procedían de direcciones señaladas por la lista compartida HiveShield; y 1104 eran ataques detectados en la propia solicitud por el cortafuegos.

Esto es solo la parte visible. En un mes, nuestros sitios respondieron además «página no encontrada» más de 7800 veces a visitantes externos procedentes de más de 3000 direcciones IP: lectores reales que llegaron a través de un enlace obsoleto, pero también robots que prueban páginas una a una para localizar un sitio mal protegido.

Las siete familias de ataques detenidas por HiveProtect

En 72 horas, del 19 al 22 de octubre, HiveProtect desenmascaró y notificó más de 350 direcciones atacantes en nuestros sitios. El esquema siguiente clasifica por tipo sus 403 notificaciones; detrás de ellas distinguimos siete familias de ataques.

1. Los exploradores: hacer el inventario del sitio

La mayoría de los ataques a WordPress empiezan por un sondeo previo, lo que los especialistas llaman reconocimiento. El robot solicita decenas de páginas que no existen, o archivos propios de tal o cual plugin, para saber qué está instalado y en qué versión.

Cómo lo detiene HiveProtect: un visitante humano no solicita toda una serie de páginas que no existen. En octubre añadimos a HiveProtect una regla dedicada a este barrido. Probada con un mes de tráfico real antes de su puesta en servicio, habría descartado 48 direcciones IP, de las cuales 29 no habían sido detectadas todavía por ninguna otra regla, sin afectar a ningún visitante, ni a ningún cliente, ni a ningún robot de motores de búsqueda.

2. La caza de archivos secretos

Es la familia que más alertas generó: copias de seguridad olvidadas, archivos de configuración, carpetas de herramientas de desarrollo, accesos de administración. Un solo archivo de este tipo dejado en el lugar equivocado puede entregar las claves de la base de datos.

Cómo lo detiene HiveProtect: ningún visitante legítimo tiene motivo para solicitar esos archivos en un sitio WordPress. Durante el período, ninguno fue entregado, y las direcciones que los solicitaban fueron bloqueadas de forma permanente en cuanto quedó establecida su intención.

3. El censo de las cuentas de usuario

Antes de intentar adivinar una contraseña, hay que conocer un nombre de usuario. En 72 horas registramos 777 solicitudes destinadas a listar las cuentas de nuestros sitios. Una de las campañas estaba especialmente organizada: dieciséis oleadas sucesivas, de dos a cuatro direcciones IP a la vez, situadas en países distintos y disfrazadas de navegadores recientes.

Cómo lo detiene HiveProtect: en esta campaña, cada dirección fue rechazada y bloqueada de forma permanente desde su primera solicitud dirigida a las cuentas; sus solicitudes siguientes se toparon con el propio servidor web. Resultado: no se obtuvo ningún nombre de cuenta, y las cincuenta direcciones de la campaña se compartieron con el resto de nuestros sitios.

4. La búsqueda de puertas traseras

Algunos robots buscan el rastro de una intrusión anterior, por ejemplo un archivo malicioso depositado por otro atacante y que sigue en su lugar. En un sitio ya comprometido, ese archivo les da acceso directo a los mandos.

Cómo lo detiene HiveProtect: en un sitio sano esos archivos no existen; solicitarlos delata la intención, y la dirección se descarta antes de que pueda ir más lejos.

5. Los intentos de salirse de la carpeta del sitio

Es la familia vinculada a la actualidad. Una vulnerabilidad de WordPress permitía obligar a un sitio a cargar un archivo situado en otro lugar del servidor; combinada con PHP2Shell, podía servir para ejecutar código. Desde mediados de septiembre hemos contabilizado 4220 solicitudes de este tipo en nuestros sitios, enviadas por 47 direcciones. Ninguna fue atendida.

Cómo lo detiene HiveProtect: una dirección web no tiene por qué salirse de la carpeta del sitio para ir a buscar otros archivos al servidor. El 18 de octubre, HiveProtect detuvo el ataque diseñado según el modelo de PHP2Shell desde su primer intento y luego bloqueó a su autor de forma permanente.

6. Los impostores

Muchos robots mienten sobre su identidad: se presentan como un navegador, como un gran motor de búsqueda o como un servicio de inteligencia artificial. Otros proceden de servidores alquilados por horas en centros de datos, un perfil poco frecuente en un lector real.

Cómo lo detiene HiveProtect: no se fía de lo que el visitante declara. Verifica los robots que dicen pertenecer a un gran motor de búsqueda y tiene en cuenta el origen real de la conexión. Durante el período, seis de esos servidores fueron descartados desde su primera solicitud.

7. Los asaltos coordinados

Algunas campañas están orquestadas: varias direcciones golpean un sitio al mismo tiempo y luego la operación pasa al sitio siguiente, unos minutos o unas horas más tarde, para pasar inadvertida.

Cómo lo detiene HiveProtect: ese es el papel de HiveShield, la lista compartida de HiveProtect. Una dirección sorprendida en flagrante delito en un sitio se notifica y luego se rechaza en los demás sitios protegidos: en 7 días, esta lista bloqueó por sí sola 8928 solicitudes en nuestros servidores.

¿Y los intentos de adivinar contraseñas?

Una familia se mantuvo discreta: los intentos de adivinar contraseñas. Las dos andanadas detectadas el 17 de octubre fueron rechazadas sin que ningún inicio de sesión tuviera éxito.

PHP2Shell: cómo HiveProtect cortó el ataque

Por sí sola, la vulnerabilidad PHP2Shell es difícil de explotar. El método más sencillo consiste en combinarla con una vulnerabilidad de inclusión de archivos, como la de WordPress mencionada más arriba. Nuestros sitios recibieron un ataque de este tipo, y HiveProtect lo cortó en tres niveles:

• Desde el primer intento: la solicitud de inclusión es rechazada por el cortafuegos de HiveProtect, antes de que WordPress la procese.
• Lo más cerca posible del servidor: el atacante queda bloqueado de forma permanente al instante. Sus solicitudes siguientes son rechazadas por el propio servidor web y ya ni siquiera llegan a PHP: el ataque ya no puede prosperar.
• En todos los sitios: su dirección se notifica a HiveShield, que la comparte con los demás sitios protegidos.

Resultado: ninguno de estos intentos prosperó en nuestros sitios. Esa es toda la fuerza de una defensa en profundidad: varias barreras, cada una capaz de detener al atacante.

No es la primera vez que PHP está en el punto de mira: ya contamos cómo HiveProtect bloqueó el ataque CVE-2024-4577.

Por qué fracasaron estos ataques: lo que hace HiveProtect

• Rechaza pronto: cuanto antes se detiene una solicitud hostil, menos probabilidades tiene de alcanzar una vulnerabilidad, conocida o todavía no.
• Bloquea de forma duradera: una dirección que ha mostrado su intención no tiene derecho a una segunda oportunidad, y el bloqueo se aplica lo más cerca posible del servidor.
• Comparte la información: gracias a HiveShield, lo que aprende un sitio beneficia rápidamente a todos los demás.
• Desenmascara a los impostores: los falsos robots y las conexiones sospechosas se reconocen, digan lo que digan.

Todas estas protecciones se detallan en las funcionalidades de HiveProtect, y nuestro artículo «Los ataques de WordPress nunca entran en reposo» muestra cómo se encadenan estas campañas en el día a día.

Lo que puedes hacer desde hoy mismo

• Instala un cortafuegos para WordPress que bloquee de forma permanente a los atacantes en lugar de limitarse a frenarlos, y que comparta lo que aprende.
• Mantén al día PHP, WordPress, tu tema y tus plugins, y elimina los plugins que ya no utilices.
• No dejes ninguna copia de seguridad ni ningún archivo de configuración en una carpeta accesible desde la web.
• Utiliza una dirección de inicio de sesión personalizada y contraseñas únicas.

Para instalar y configurar HiveProtect, la documentación y el centro de ayuda detallan cada paso.

En resumen

En plena actualidad de PHP2Shell, nuestros sitios protegidos por HiveProtect bloquearon más de 448 000 solicitudes en 3 días, y HiveProtect detuvo más de 46 000 en nuestros servidores en una semana, repartidas en siete familias de ataques. Frente a PHP2Shell como frente a todo lo demás, su lógica no cambia: rechazar pronto, bloquear para siempre y compartir la información.

Tu sitio recibe los mismos ataques a WordPress, los veas o no. Descubre los planes de HiveProtect y protégelo desde hoy mismo.