Por qué a dueños de negocio y equipos de marketing debería importarles la corrección de seguridad de PHP

La mayoría de los dueños de negocio nunca ha oído hablar de PHP, y está bien. No necesitas saber cómo funciona tu sitio web para entender esto. La versión corta: el software detrás de la mayoría de los sitios web del mundo tenía dos huecos de seguridad graves, y el miércoles 21 de octubre de 2026 la gente que lo mantiene publicó la corrección. Si tu sitio funciona con ese software, alguien tiene que instalar la corrección ya.

Aquí va qué pasó, por qué importa para tus ventas y tu marketing, y el único correo que vale la pena mandar esta semana.

¿Entonces qué pasó?

Piensa en PHP como el motor de un sitio web. Los visitantes nunca lo ven, pero hace el trabajo cada vez que alguien abre una página o llena un formulario. Según W3Techs, mueve el 69.3% de todos los sitios web cuyo motor se conoce, incluido todo sitio construido en WordPress.

El 21 de octubre, el equipo de PHP anunció que había corregido dos fallas calificadas con 9.2 de 10 en gravedad, la categoría más seria que existe. Eso significa que un extraño en internet podía tomar el control de un sitio que usara una versión sin corregir, sin contraseña y sin siquiera iniciar sesión. El consejo de PHP fue corto: actualiza de inmediato, porque actualizar es la única solución real.

El momento también importa. En cuanto una corrección es pública, los atacantes estudian qué cambió para encontrar el hueco que cierra, y luego salen a buscar sitios que todavía no se han actualizado. Los días justo después de una actualización como esta son cuando un sitio sin corregir corre más riesgo.

¿Esto afecta a mi sitio web?

Es muy posible. Si tu sitio funciona con WordPress, si entras por una dirección que termina en “wp-admin” o si alguien te ha dicho que tu sitio necesita “actualizar plugins”, casi seguro funciona con PHP. Lo mismo aplica para sitios hechos en Drupal, Joomla, WooCommerce o Magento.

Si tu sitio vive en Wix o Squarespace, la plataforma se encarga de este tipo de actualización y no hay nada que tengas que instalar. Lo mismo aplica para un sitio construido y operado por SWATS (más sobre eso abajo).

¿No estás seguro? Es normal. Pregúntale a quien construyó o aloja tu sitio. Te lo pueden decir en un minuto.

¿Squarespace o Wix están afectados por la vulnerabilidad de PHP?

Mucha gente sigue haciendo esta pregunta, así que aquí va la respuesta corta: si todo tu sitio está en Squarespace o Wix, no tienes que hacer nada.

¿Por qué debería importarle a un dueño de negocio?

Porque tu sitio web no es solo un folleto. Para la mayoría de los negocios es la puerta de entrada: donde los clientes te encuentran, te evalúan y te contactan. Un sitio que controla otra persona te puede hacer daño de formas que no tienen nada que ver con la tecnología.

• La información de tus clientes. Los formularios de contacto, de cotización y de reservas recogen nombres, correos y teléfonos. Un sitio tomado le puede entregar todo eso a un extraño.
• Tu reputación. Los sitios hackeados se usan para mostrar páginas falsas, mandar visitantes a estafas o publicar spam con tu nombre. Tus clientes no van a culpar al software. Te van a culpar a ti.
• Tus clientes potenciales. Un sitio caído, o que deja de mandarte los formularios sin avisar, te cuesta negocio cada día que nadie lo nota.
• Tu tiempo y tu dinero. Limpiar después de una intrusión casi siempre cuesta mucho más que la actualización que la habría evitado.

¿Por qué debería importarle a marketing?

Porque toda campaña termina en el sitio web. Los anuncios, los correos, las redes sociales y la búsqueda mandan a la gente al mismo lugar. Si ese lugar está comprometido, todo lo que invertiste para llevar gente ahí cae en un problema.

• El tráfico pagado se desperdicia. Si el sitio está caído o manda a los visitantes a otro lado, estás pagando clics que nunca tuvieron oportunidad de convertirse en clientes.
• La visibilidad en búsquedas puede caer. Google aleja a la gente de los sitios que cree hackeados, directo en los resultados de búsqueda y en el navegador. Recuperar esa confianza toma tiempo.
• Tus correos pueden terminar en spam. Un sitio secuestrado se puede usar para mandar spam desde tu dominio, y eso puede mandar tus boletines y seguimientos reales a la carpeta de spam.
• La confianza en la marca cuesta reconstruirla. Un visitante que cae en una página de estafa con tu logo arriba no lo va a olvidar.

La seguridad del sitio web normalmente se archiva como tema de TI. Semanas como esta recuerdan que también es un tema de marketing.

¿Qué hago esta semana?

No necesitas convertirte en experto técnico. Necesitas asegurarte de que alguien se esté encargando.

• Manda un correo. Escríbele a quien opera tu sitio (tu empresa de hosting, tu desarrollador o tu agencia) y pregunta: “¿Nuestro sitio ya tiene la corrección de seguridad de PHP del 21 de octubre? Si no, ¿cuándo la va a tener?”
• Pregunta por un respaldo. Asegúrate de que exista una copia reciente de tu sitio antes de que algo cambie, por si la actualización rompe algo.
• Revisa tu sitio después. Cuando te digan que ya quedó, abre tu página de inicio, mándate un mensaje con tu formulario de contacto y prueba una reserva o un pago si los tienes. Un sitio corregido que dejó de mandarte clientes sin avisar es otro tipo de caída.
• Si nadie sabe quién es el responsable, ahí está tu respuesta. Muchos negocios van a descubrir esta semana que nadie está cuidando su sitio. Eso es lo más importante que hay que resolver, y es mucho mejor descubrirlo ahora que después de una intrusión.

¿Y si mi sitio tiene varios años?

Esta es la parte que más sorprende a los negocios pequeños. La corrección oficial solo cubre las versiones de PHP que todavía tienen soporte. Las versiones viejas ya no reciben actualizaciones normales, y según W3Techs, más de un tercio de los sitios con PHP todavía usa una de ellas. Para esta ocasión, PHP sí publicó una corrección de emergencia para algunas versiones viejas, pero es un parche provisional que un desarrollador tiene que aplicar a mano, no una actualización normal.

Algunas empresas de hosting corrigen versiones viejas por su cuenta, así que pregúntale a la tuya. Si no lo hacen, la solución para tu sitio no es una actualización rápida. Es una migración de versión, y en un sitio de WordPress viejo, con plugins viejos y un diseño a la medida, eso es un proyecto, no un botón. Empieza esa conversación hoy. Ya escribimos más sobre cómo se acumulan las actualizaciones de seguridad con el tiempo y sobre la falla de WordPress que ningún mantenimiento cuidadoso habría evitado.

¿Los sitios de SWATS están afectados?

No. Los Smart Websites que construye SWATS no funcionan con PHP. No hay nada que parchar, ni servidor que cuidar, ni lista de plugins que auditar, y eso es parte del SWATS Standard que sigue cada sitio que construimos. Cuando sale un aviso como este, nuestros clientes no tienen nada que revisar ni nada que agendar.

Ese es justo el punto de SWATS. Construimos o rescatamos tu sitio web, y mantenerlo al día, seguro y rápido es nuestro trabajo, no el tuyo. Cuando algo tiene que cambiar, mandas un correo. Hacemos el cambio, apruebas un enlace de vista previa y se publica. Semanas como esta se vuelven algo que lees, no algo que administras.

¿Quieres saber si tu sitio está en riesgo? Escríbenos a hello@swats.ai y te respondemos con qué tecnología funciona tu sitio y cómo resolverlo. Sin compromiso.

Este es el camino. 🤖

— Jenaro Diaz, Founder & CEO, SWATS