Esta semana el mundo de la ciberseguridad le ha puesto nombre a lo que está pasando: «Black October». El detonante son dos fallos críticos en PHP, el lenguaje con el que funciona cerca del 70 % de las webs del mundo, incluidas casi todas las que usan WordPress, WooCommerce o PrestaShop. Lo llamativo no es solo la gravedad: esos fallos los encontraron investigadores ayudados por modelos de inteligencia artificial de OpenAI y Google.
Según han contado CNBC y otros medios especializados, los parches salieron el 21 de octubre y ese mismo día ya había ataques intentando aprovechar el agujero. Algunos portales públicos en Reino Unido, Finlandia o Japón llegaron a desconectarse mientras aplicaban la corrección. El fallo, en el peor de los casos, permite a un atacante tomar el control del servidor donde está la web sin necesidad de contraseña.
Por qué esto va con tu negocio, aunque no seas una empresa tecnológica
Es fácil leer «vulnerabilidad en PHP» y pensar que es cosa de informáticos. Pero si tu negocio tiene una web con formulario de contacto, una tienda online, un sistema de reservas o un área de clientes, lo más probable es que funcione con PHP por debajo. Y en una pyme esa web suele estar en un hosting contratado hace años, montada por alguien que ya no está, con plugins que nadie actualiza.
La parte nueva de esta historia es la IA. Que una IA encuentre fallos graves es una buena noticia cuando lo hace quien defiende: OpenAI ha defendido que esta vez la IA llegó antes que los atacantes. Pero la misma tecnología también la usan quienes atacan, y eso cambia el ritmo. Antes, entre que se publicaba un parche y que empezaban los ataques podían pasar semanas. Ahora hablamos de horas. Una web que «ya actualizaremos cuando haya tiempo» es una web expuesta.
Lo que conviene hacer esta semana
No hace falta entrar en pánico ni ser experto. Hace falta saber quién se encarga de qué. Estas son las preguntas que le haríamos a cualquier pyme con web propia:
- 1 ¿Quién gestiona tu hosting? Escríbele hoy y pregúntale si ya ha aplicado los parches de PHP del 21 de octubre. Los buenos proveedores lo hacen solos y lo confirman en minutos.
- 2 ¿Qué versión de PHP usa tu web? Si es antigua (de las que ya no reciben soporte), el parche no llega. Pide un plan para subir de versión, aunque implique revisar algún plugin.
- 3 ¿Tienes copia de seguridad reciente y probada? Si mañana tu web se cae o la manipulan, la diferencia entre perder una hora o perder una semana es tener una copia que sepas restaurar.
- 4 ¿Hay webs o herramientas viejas que ya no usas? Una landing de una campaña de hace tres años, una tienda de pruebas, un subdominio olvidado. Si no se usa, mejor apagarlo que dejarlo abierto.
- 5 ¿Te enterarías si algo raro pasa? Avisos de caídas, de cambios en archivos o de accesos extraños. Hay servicios sencillos y baratos que vigilan esto por ti.
Chris Krebs, exdirector de la agencia de ciberseguridad de Estados Unidos (CISA), lo resumía para las empresas pequeñas en tres ideas: revisar de forma constante, aplicar parches en cuanto salen y desconectar los sistemas antiguos que no se pueden mantener. Es un buen resumen para cualquier negocio.
El patrón que vemos en las pymes
Cuando revisamos la parte digital de un negocio casi siempre aparece lo mismo: la web es lo primero que se ve y lo último que se mantiene. Se paga el hosting, se renueva el dominio y se da por hecho que «eso funciona». Mientras tanto, el formulario de contacto envía los datos de los clientes, la tienda guarda pedidos y el panel de administración tiene una contraseña que no se cambia desde que se lanzó.
Además, cada vez más empresas conectan su web con herramientas de IA: chatbots, formularios que crean contactos en el CRM, agentes que responden correos. Todo eso es útil, y lo recomendamos, pero suma piezas. Cuantas más piezas conectadas, más importa saber cuáles hay, quién las mantiene y qué datos tocan.
La IA hace más rápido tanto el trabajo de quien defiende como el de quien ataca. La ventaja no la tiene quien más herramientas usa, sino quien sabe qué tiene montado y lo mantiene al día.
Qué nos llevamos de Black October
- circle Los tiempos se han acortado: un fallo publicado hoy puede estar siendo atacado esta misma tarde.
- circle El mantenimiento de la web no es opcional ni «para cuando haya tiempo»: es parte del coste de tenerla.
- circle La IA no es solo una herramienta para vender más o ahorrar horas; también obliga a revisar la seguridad de lo que ya tienes.
- circle Un inventario sencillo (qué webs, qué herramientas, quién las gestiona) vale más que cualquier producto de seguridad caro.
Fuente: CNBC, «AI's 'Black October': Critical PHP flaws set off global security scramble» (23 de octubre de 2026). Los datos sobre fechas de parches y ataques proceden también de informes de Patchstack recogidos por Security Boulevard.
¿No sabes en qué estado está tu web ni qué herramientas tienes conectadas? En la auditoría 360 de AetherIA revisamos tu presencia digital, tus procesos y las herramientas que usas, y te decimos qué arreglar primero y qué puedes automatizar con seguridad. Empieza en /diagnostico.
