¿Tu sistema usa PHP anterior a 8.2? La falla de octubre no tiene actualización oficial para él

Imagina abrir la computadora un lunes por la mañana y descubrir que la tienda en línea se cayó, o que tus clientes están recibiendo correos raros a nombre de tu empresa. Casi siempre empieza por algo que nadie estaba mirando: la versión de un software olvidado en el servidor.

Ahora mismo, para muchas empresas, ese software es una versión de PHP anterior a la 8.2, casi siempre PHP 7.

Primero: qué es PHP y por qué esto te toca

PHP es el lenguaje de programación que hace funcionar una enorme parte de internet: tiendas en línea, sitios en WordPress, áreas de clientes, sistemas internos hechos a medida. Probablemente nunca elegiste usar PHP. Alguien lo eligió por ti, hace años, y funcionó bien hasta ahora.

Qué pasó

El 21 de octubre, los responsables de PHP avisaron de dos fallas graves, con nota 9,2 en una escala que llega a 10. En la práctica, permiten que alguien en internet tome el control del servidor donde corre tu sitio, sin necesitar contraseña. Cinco días después, la agencia de ciberseguridad del gobierno de Estados Unidos (CISA) puso las dos en su lista de fallas que ya se usan en ataques reales.

El parche salió ese mismo día 21, pero solo para PHP 8.2 y las versiones más nuevas. Quien está en una versión anterior (todo PHP 7, el 8.0 y el 8.1) se quedó sin actualización oficial, y eso lo cambia todo: no sirve de nada apretar el botón de actualizar, porque para esas versiones no existe una versión corregida lista para instalar.

Cuánto puede costar

El peor escenario es que el sitio o el sistema se caiga en plena jornada, o justo el día de la campaña de ventas. Pero hay otros, y no siempre hacen ruido. Pueden filtrarse datos de clientes, como registros, pedidos y correos, y además del golpe a la confianza eso puede terminar en demandas y multas por las leyes de protección de datos. El servidor también puede empezar a trabajar para los delincuentes, mandando spam o repartiendo estafas, hasta que Google empiece a avisar que tu sitio es peligroso. Y la cuenta de la limpieza suele ser mucho mayor que la de la prevención.

No lo decimos para asustar. Fallas así se explotan en masa, con robots que recorren internet buscando cualquier servidor vulnerable. Nadie tiene que elegir a tu empresa a propósito: basta con que esté en el camino.

¿Entonces basta con actualizar?

Ojalá, pero casi nunca es tan simple. Quien sigue en una versión anterior a la 8.2 suele tener un buen motivo: el sistema funciona, da dinero y nadie quiere tocarlo. El paso a PHP 8 cambia reglas del lenguaje, y partes que funcionaban pueden dejar de hacerlo. Plugins viejos, versiones antiguas de frameworks y código escrito hace años son lo primero que se rompe.

Actualizar a ciegas es cambiar un riesgo por otro. El camino seguro es saber antes qué se va a romper, cuánto cuesta y en qué orden hacerlo.

Para saber dónde estás: quien usa PHP 8.3, 8.4 u 8.5 está protegido si actualizó después del 21 de octubre (8.3.36, 8.4.27, 8.5.12 o más nueva). En la 8.2, la protección llega desde la 8.2.35, y antes de eso sigue expuesto; su soporte termina el 31 de diciembre de 2026, así que ya conviene planear la siguiente. Por debajo no hay actualización oficial. Para el 8.1, el 8.0 y el 7.4 existe solo un parche en el código fuente, útil para quien compila PHP por su cuenta, y para el 7.3 y anteriores no existe nada.

¿No sabes qué versión usas? Es normal. Puedes averiguarlo ahora mismo, aquí abajo.

Cinco preguntas para responder hoy

Antes de hablar con nadie, conviene responder esto: ¿en qué versión de PHP corren los sitios y sistemas de la empresa? ¿Quién se encarga de las actualizaciones del servidor, y esa persona sigue trabajando con ustedes? ¿Cuándo fue la última gran actualización del sistema? Si el sitio se cayera hoy, ¿cuánto perdería la empresa por día? ¿Y hay un respaldo reciente, y alguien ya probó que funciona?

Si alguna respuesta fue "no sé", no estás solo. Muchas empresas están en el mismo lugar, y justo ahí entramos nosotros.

Cómo lo resuelve 360 Brave contigo

Somos un estudio de ingeniería de software. En el análisis de impacto de PHP, revisamos todo lo que tu empresa tiene corriendo, explicamos el riesgo en lenguaje de negocio y entregamos un plan con plazo y precio acordados.

Empezamos conversando, a tu manera y sin tecnicismos, sobre cómo funciona tu operación. Después, con acceso de solo lectura, levantamos todos los sitios y sistemas en PHP, las versiones, qué está expuesto en internet y qué se rompería en una actualización. El resultado es una lista de qué hacer primero, según el tamaño del riesgo para el negocio, con plazo y precio, incluyendo medidas inmediatas para reducir la exposición mientras la actualización no está lista. Luego actualizamos por etapas, con pruebas y un plan de vuelta, para que el sistema no se detenga. Si prefieres, entregamos el plan a tu equipo para que lo ejecute.

Después, si tiene sentido, nos ocupamos de tu servidor de forma continua. Así la próxima falla se vuelve una actualización de rutina, y no una emergencia un lunes por la mañana.

Si quieres saber si tu empresa está expuesta, escríbenos. Primero escuchamos y entendemos qué tienen corriendo; después de mirar con cuidado, proponemos alcance, plazo y precio. Si no está expuesta, también te lo decimos.