Dos vulnerabilidades críticas conocidas como «PHP2Shell» han activado las alertas en el sector de las criptomonedas después de que los desarrolladores de PHP publicaran parches de emergencia el 21 de octubre. Los fallos recibieron una puntuación de gravedad de 9,2 sobre 10 y podrían permitir a un atacante acceder a servidores afectados sin contraseña, robar información sensible y, potencialmente, tomar el control de sitios web.
El riesgo no se limita a los servicios cripto. Cloudflare ha confirmado intentos de explotación contra sus clientes, mientras que varias webs de gobiernos europeos fueron desconectadas temporalmente como medida de precaución. Para las empresas de activos digitales que utilizan PHP en los accesos de usuarios, las solicitudes de pago o las funciones administrativas, la rapidez con la que se instalen los parches determinará cuánto tiempo permanecen expuestos sus sistemas.
El manejo de memoria de PHP abre la vía de ataque
PHP es un software de servidor utilizado por un gran número de páginas web para procesar solicitudes. Cuando un usuario inicia sesión, envía un pago o interactúa con una función del sitio, PHP suele encargarse del tratamiento de los datos subyacentes. Los investigadores descubrieron que un atacante podía manipular la forma en que PHP gestiona la memoria del equipo y acceder a información que debería permanecer protegida.
Wiz Research señaló que una explotación exitosa podría dejar expuestas contraseñas, tokens de autenticación y claves API. Estas credenciales digitales pueden estar vinculadas a cuentas del sitio y también dar acceso a servicios de terceros conectados. En las páginas que gestionan activos digitales o procesan pagos en criptomonedas, el robo de credenciales podría ampliar el impacto más allá del servidor inicialmente afectado.
Pasarelas cripto y exchanges pequeños deben revisar sus sistemas
Hay tres grupos de servicios que requieren una revisión prioritaria. El primero son las pasarelas de pago con criptomonedas. Los comercios que utilizan integraciones de pago basadas en PHP, especialmente las conectadas con WooCommerce, podrían quedar expuestos si sus servidores no se han actualizado. Los registros públicos muestran que Binance Pay, Crypto.com Pay, BitPay, CoinGate y CoinPayments ofrecen integraciones con WooCommerce. Sin embargo, la existencia de esas integraciones no demuestra por sí sola que la infraestructura de estas empresas sea vulnerable.
El segundo grupo son los exchanges de criptomonedas de menor tamaño. Si el portal de cuentas o el sistema de pagos de una plataforma funciona sobre un entorno PHP afectado, la intrusión en el servidor podría exponer información de clientes y credenciales sensibles. Frente a las grandes plataformas, que suelen contar con procedimientos más amplios de aislamiento y aplicación de parches, los proveedores pequeños tendrán que comprobar si sus webs, paneles administrativos y complementos de terceros siguen utilizando versiones afectadas.
El tercer grupo está formado por las webs de finanzas descentralizadas (DeFi) y de wallets. Si se modifica la interfaz de un sitio, los atacantes podrían redirigir a los usuarios hacia direcciones de wallets falsas o inducirles a aprobar transacciones maliciosas. Hasta ahora no existe evidencia verificada de que los proveedores de pagos o los principales exchanges mencionados hayan sufrido una intrusión a través de PHP2Shell.
Las redes blockchain y las claves offline no están afectadas directamente
El riesgo en la capa web debe diferenciarse de la seguridad de la infraestructura blockchain y de los activos almacenados. PHP2Shell ataca directamente los servidores web que ejecutan PHP. No afecta de forma directa a las redes blockchain, a los contratos inteligentes ni a las claves privadas guardadas de forma segura en wallets de hardware sin conexión.
Del mismo modo, que un producto de pagos cripto incluya una integración con PHP o WooCommerce no demuestra que los sistemas centrales de transacciones de la empresa hayan sido atacados. El riesgo real depende de si un servidor concreto ejecuta una versión afectada, de si se ha instalado el parche y de si los sistemas de cuentas, las interfaces de pago y las funciones administrativas están correctamente aislados.
Los grandes exchanges podrían tener una exposición menor si aplicaron los parches con rapidez o separaron la infraestructura crítica de los servicios web vulnerables. Kraken ha declarado que en 2025 completó la migración de su backend principal de PHP a Rust. Por tanto, la relación directa entre su backend central y estas vulnerabilidades debe evaluarse según el entorno de despliegue concreto, y no inferirse únicamente de la tecnología que utilice una web.
Los usuarios no pueden parchear los servidores de un exchange
Las correcciones de seguridad de PHP deben aplicarlas los operadores de las webs, los proveedores de pagos o las empresas responsables de la infraestructura de alojamiento. Los usuarios particulares no pueden instalar directamente parches en los servidores de un exchange. Sí pueden comprobar si una plataforma publica actualizaciones de seguridad, extremar la cautela ante alertas de inicio de sesión, avisos de restablecimiento de contraseña o cambios de direcciones de wallet, y evitar introducir contraseñas o claves API en páginas sospechosas o aprobar transacciones desconocidas.
Los hechos confirmados hasta ahora son que los desarrolladores de PHP han publicado correcciones de emergencia para dos vulnerabilidades, que Cloudflare ha detectado intentos de explotación contra sus clientes y que algunas webs de gobiernos europeos fueron cerradas temporalmente. Que un exchange, una pasarela de pago o una web de wallet concreta esté afectada dependerá de la versión del servidor, el estado del parche y las medidas de aislamiento de red. La mera presencia de una integración con PHP no basta para determinar la exposición.