Artículo · República Dominicana
Cómo afectó PHP2Shell a República Dominicana
Mientras en Francia y en los Países Bajos se apagaban sitios del gobierno por la vulnerabilidad PHP2Shell, en República Dominicana la noticia llegó por la prensa y por los avisos de los proveedores de hosting. Este artículo reúne lo que se sabe del impacto en el país, lo que no se sabe, y por qué el mercado dominicano tiene motivos concretos para tomárselo en serio.
Una advertencia desde el principio: al momento de escribir no encontramos reportes públicos de intrusiones en sitios dominicanos atribuidas a PHP2Shell. Eso no significa que no las haya habido. Significa que, si las hubo, no se han hecho públicas.
Cómo llegó la noticia al país
Los medios dominicanos cubrieron el caso desde el primer día. Ensegundos publicó el 21 de octubre la nota de la AFP sobre los sitios desconectados en Europa. Almomento, con fecha en Santo Domingo, describió la alerta internacional y el tráfico malicioso detectado por Cloudflare. Diario Libre publicó el 22 de octubre una nota con los identificadores de los fallos, las cifras de ataques y recomendaciones para usuarios y administradores.
Ninguna de esas notas menciona instituciones o empresas dominicanas afectadas. Tampoco encontramos, al cierre de este artículo, una alerta pública específica sobre PHP2Shell del Centro Nacional de Ciberseguridad (CNCS), aunque el CNCS ha publicado alertas sobre PHP en el pasado — sobre fallos de PHP 7 entre 2019 y 2021 y sobre phpMyAdmin en 2022 — y es la fuente a consultar para cualquier aviso oficial.
El contexto: un año de récord en intentos de ataque
PHP2Shell llegó a un país que ya estaba recibiendo más ataques que nunca. El 16 de octubre, una semana antes de la crisis, CDN publicó que el CNCS había bloqueado 510 millones de intentos de ataque contra sistemas del Estado en lo que iba de 2026, frente a 481 millones en todo 2025. El propio CNCS aclara que esa cifra solo cubre los sistemas de protección del Estado, no el total del país.
Su director ejecutivo, Carlos Leonardo, atribuyó el aumento a la transformación digital y a la automatización de los ataques, y advirtió que combinar datos de distintas filtraciones permite a grupos criminales armar perfiles de ciudadanos. En la misma entrevista se mencionaron denuncias de filtraciones vinculadas a una empresa telefónica, a la Policía Nacional y a la Junta Central Electoral, con investigaciones abiertas.
Un fallo que permite tomar un servidor sin contraseña, en el lenguaje que mueve a la mayoría de los sitios web, es exactamente el tipo de herramienta que esos ataques automatizados incorporan en cuanto está disponible.
Por qué el mercado dominicano está especialmente expuesto
No tenemos una cifra oficial de cuántos sitios dominicanos usan PHP. Lo que sí podemos contar es lo que vemos al trabajar en este mercado, y cualquiera que haya cotizado un sitio web en Santo Domingo lo reconocerá.
WordPress en hosting compartido es la norma
La gran mayoría de los sitios de pymes, consultorios, restaurantes y profesionales que vemos están hechos en WordPress, sobre hosting compartido con cPanel. Eso es PHP.
Sitios entregados y abandonados
Es muy común que un sitio se entregue, se pague y nadie lo vuelva a tocar. Ni el cliente sabe que hay que actualizarlo ni el proveedor lo ofrece. Esos sitios suelen seguir en la versión de PHP con la que se crearon.
Versiones viejas por miedo a romper
Muchos proveedores locales mantienen sitios en PHP 7.4 porque un plugin o un tema antiguo no funciona en PHP 8. Para PHP 7.4 no hubo corrección oficial de PHP2Shell.
Tiendas conectadas a pasarelas de pago
Las tiendas en WooCommerce que cobran a través de pasarelas locales o internacionales guardan en el servidor las claves de conexión a esas pasarelas. Uno de los fallos de PHP2Shell permite leer memoria del servidor.
Nadie a quien llamar
El técnico que montó el sitio ya no contesta, el sobrino que lo hizo se fue a estudiar fuera, la agencia cerró. Es la situación más común y la más peligrosa.
Lo que sí jugó a favor
La mayoría de los sitios dominicanos pequeños no están alojados en servidores propios dentro del país, sino en proveedores de hosting internacionales grandes. Esos proveedores actualizaron PHP en sus servidores compartidos en los días siguientes al parche, en muchos casos sin que el cliente hiciera nada.
Eso protege a quien está en una versión con soporte. No protege a quien tiene su sitio fijado en PHP 7.4 u 8.1, porque el proveedor no puede actualizar lo que el cliente decidió mantener viejo. Y tampoco a quien tiene un servidor propio o un VPS que nadie administra.
Qué debería hacer un negocio dominicano esta semana
Pregunta a tu proveedor
¿Mi sitio usa PHP? ¿Qué versión exacta? ¿Ya incluye las correcciones de CVE-2026-109618 y CVE-2026-109619? Si no te contestan en dos días, ese también es un dato.
Si estás en PHP 7.4, 8.0 u 8.1, planifica la migración
No hay corrección oficial para esas versiones. Explicamos las opciones en un artículo aparte.
Revisa los administradores de tu sitio
Entra al panel de WordPress y comprueba que no haya usuarios administradores que no reconozcas.
Cambia las claves de las pasarelas si tienes dudas
Si tienes una tienda y no puedes confirmar que tu servidor se actualizó a tiempo, pide a tu pasarela de pago que te genere claves nuevas.
Reporta si ves algo raro
El CNCS recibe reportes de incidentes. Si tu sitio fue alterado o sospechas una intrusión, reportarlo ayuda a que se detecten patrones que afecten a otros.
Fuentes consultadas
Diario Libre, 22 de octubre de 2026
«Vulnerabilidad PHP2Shell provoca ataques informáticos masivos».
Ensegundos, 21 de octubre de 2026
Nota de la AFP sobre sitios fuera de servicio en el mundo.
Almomento
Alerta internacional por los fallos de PHP y tráfico malicioso detectado por Cloudflare.
CDN, 16 de octubre de 2026
Cifras del CNCS sobre intentos de ataque bloqueados y declaraciones de su director.
Centro Nacional de Ciberseguridad (cncs.gob.do)
Alertas históricas sobre PHP, WordPress y phpMyAdmin.
Preguntas frecuentes
- ¿Hubo sitios del gobierno dominicano afectados?
- No encontramos reportes públicos de ello. Tampoco de desconexiones preventivas como las de Europa. Para información oficial, la fuente es el CNCS.
- Mi sitio lo hizo alguien que ya no contesta. ¿Qué hago?
- Si tienes acceso al panel del hosting, puedes ver y cambiar la versión de PHP tú mismo, o pedírselo al soporte del hosting. Si no tienes acceso a nada, lo primero es recuperar las credenciales del dominio y del hosting, porque sin ellas no puedes proteger el sitio.
- ¿Debo reportar al CNCS si mi sitio fue atacado?
- Las instituciones públicas tienen obligación de notificar incidentes, y el sector financiero tiene su propio reglamento. Para el resto de las empresas privadas no encontramos una obligación general equivalente, pero reportarlo es recomendable. Lo explicamos con detalle en el artículo sobre la ley dominicana.
Seguir leyendo
¿Tu sitio quedó sin nadie que lo cuide?
Somos un estudio en Santo Domingo. Revisamos tu sitio, te decimos en qué estado está y qué hace falta, aunque no lo hayamos hecho nosotros.
Escribir por WhatsApp