Seguridad de un sitio web estático en 2026

Octubre de 2026 no fue un mes tranquilo para quienes administran páginas web. El 21 de octubre, PHP publicó parches urgentes para dos fallas críticas que permiten tomar el control de un servidor sin contraseña. Y en lo que va del año, el ecosistema de Node.js ha sufrido varias oleadas de paquetes contaminados que roban credenciales. En medio de todo esto, hay un tipo de página que casi no se vio afectada: la estática.

En esta entrada te contamos qué está pasando con PHP y Node.js, por qué la seguridad de un sitio web estático es tan distinta, y qué cosas sí debes proteger aunque tu página no tenga "nada que hackear".

Qué pasó con PHP: PHP2Shell

PHP es el lenguaje con el que funcionan WordPress y una gran parte de las páginas del mundo. En octubre de 2026 se conocieron dos fallas críticas, conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619):

Permiten ejecutar código en el servidor sin iniciar sesión. Es el tipo de falla más grave que existe: un atacante puede tomar el control del sitio.
Tienen una calificación de 9,2 sobre 10 en gravedad.
Afectan a muchas versiones de PHP, según los investigadores que las encontraron.
Se corrigieron el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Ya hubo intentos de ataque: proveedores como Cloudflare y empresas de seguridad reportaron tráfico malicioso buscando servidores vulnerables.

El detalle más importante para los dueños de páginas en WordPress: actualizar WordPress o los plugins no corrige PHP2Shell. La falla está en PHP, el programa que corre en el servidor, así que hay que actualizar la versión de PHP del hosting.

Y no es lo único. En el mismo mes se reportó la explotación activa de una falla de gravedad máxima en un plugin de WordPress que permitía subir y ejecutar código sin contraseña. Es un patrón que se repite: cada plugin es una puerta más. Lo explicamos en cómo mantener tu página en WordPress segura.

Qué pasó con Node.js: los ataques a npm

Node.js es otra tecnología muy usada para construir páginas y aplicaciones. Sus programas se arman con miles de piezas pequeñas, llamadas paquetes, que se descargan de un registro público llamado npm. En 2026, ese registro fue blanco de varios ataques a la cadena de suministro:

Marzo: versiones contaminadas de Axios, uno de los paquetes más usados del mundo, incluían una dependencia maliciosa, según la agencia de ciberseguridad de Estados Unidos (CISA).
Mayo: versiones maliciosas de otros paquetes populares, y paquetes con nombres parecidos a los reales para engañar a los desarrolladores, buscaban robar claves de la nube y del servidor.
Agosto: un "gusano" llamado ChainDrop comprometió más de 400 paquetes, según Microsoft. Se propaga solo: roba las credenciales del desarrollador y las usa para publicar versiones infectadas de otros paquetes.

¿Qué significa para un negocio? Que una página o aplicación construida con Node.js puede quedar comprometida sin que nadie la ataque directamente: basta con que una de sus piezas venga contaminada.

Por qué un sitio estático es tan distinto

Una página estática es un conjunto de archivos listos para mostrarse: HTML, estilos, imágenes y un poco de JavaScript que corre en el navegador del visitante. Cuando alguien entra, el servidor solo entrega archivos. No ejecuta programas, no consulta una base de datos, no procesa formularios.

Eso cambia todo:

No hay PHP ni Node.js corriendo en el servidor, así que fallas como PHP2Shell no tienen qué atacar en la página.
No hay base de datos, así que no hay datos que robar ni inyecciones que hacer.
No hay plugins, así que no hay puertas que se queden sin actualizar.
No hay un panel de administración expuesto en internet, con usuario y contraseña que adivinar.

En la práctica, la página como tal no tiene nada que hackear. Lo peor que puede pasar con un archivo estático es que alguien lo lea, y para eso está publicado.

Nuestro caso

Revisamos el paquete que publicamos de nuestro propio sitio: no tiene ni un solo archivo que se ejecute en el servidor. Son páginas HTML, hojas de estilo, imágenes y algunos scripts que corren en el navegador. Las páginas las generamos en nuestro computador y lo que sube al hosting es el resultado final. Por eso, cuando salió PHP2Shell, nuestro sitio no tenía nada que parchar.

Te contamos más sobre esta decisión en por qué apostamos por páginas estáticas.

Comparación rápida

	WordPress (PHP)	Aplicación en Node.js	Página estática
Ejecuta código en el servidor en cada visita	Sí	Sí	No
Base de datos	Sí	Normalmente sí	No
Plugins o paquetes de terceros en el servidor	Muchos	Muchos	Ninguno
Panel de administración expuesto	Sí	A veces	No
Afectado por fallas como PHP2Shell	Sí, si no se actualiza PHP	No, pero tiene sus propios riesgos	No
Mantenimiento de seguridad	Constante	Constante	Mínimo

Lo que sí debes proteger, aunque tu página sea estática

"Nada que hackear" se refiere a la página. Pero hay otras puertas alrededor:

La cuenta del hosting. Si alguien entra con tu usuario y contraseña, puede reemplazar los archivos. Usa una contraseña fuerte y verificación en dos pasos.
Tu dominio y tu DNS. Si alguien entra a tu registrador, puede apuntar tu dominio a otro lado. Te explicamos los riesgos en cómo identificar un dominio falso y en toma de subdominio.
Los scripts de terceros. Analytics, chats, píxeles o anuncios cargan código de otras empresas en tu página. Usa solo los que necesitas y de proveedores confiables.
Los formularios. Si tu formulario usa un servicio externo, ese servicio es parte de tu seguridad. Muchas páginas estáticas resuelven el contacto con WhatsApp.
El computador donde se genera la página. Si las herramientas que arman tu sitio vienen contaminadas, podrían colarse en los archivos. Por eso conviene usar pocas dependencias y de fuentes confiables.
Tu correo. Configura SPF, DKIM y DMARC para que nadie se haga pasar por ti. Lo explicamos en SPF, DKIM y DMARC.

Si tu página está en WordPress, haz esto hoy

Pregúntale a tu hosting qué versión de PHP usas y pídele que la actualice a una versión corregida.
Actualiza WordPress, el tema y todos los plugins.
Borra los plugins que no usas.
Haz una copia de seguridad antes y después de actualizar.
Revisa si hay usuarios administradores que no reconoces.

Preguntas frecuentes

¿Es seguro un sitio web estático?

Es de los tipos de página más seguros que existen, porque no ejecuta código en el servidor, no tiene base de datos ni plugins. Lo que hay que proteger son las cuentas que lo rodean: hosting, dominio y correo.

¿Qué es PHP2Shell?

Es el nombre de dos fallas críticas en PHP, corregidas el 21 de octubre de 2026, que permiten ejecutar código en un servidor sin iniciar sesión. Afectan a sitios que usan PHP, como los hechos en WordPress, hasta que el servidor se actualiza.

¿Actualizar WordPress me protege de PHP2Shell?

No. La falla está en PHP, el programa del servidor. Hay que actualizar la versión de PHP del hosting.

¿Qué es un ataque a la cadena de suministro?

Es cuando los atacantes no atacan tu página directamente, sino una de las piezas con las que está construida, como un paquete de npm. Al instalarla, la falla entra con ella.

¿Una página estática puede tener formulario y tienda?

Sí, usando servicios externos especializados, como pasarelas de pago o herramientas de formularios, o resolviendo el contacto por WhatsApp. Lo importante es elegir proveedores confiables.

Fuentes

Conclusión

Mientras PHP y Node.js enfrentan fallas críticas y ataques a sus paquetes, la seguridad de un sitio web estático se apoya en algo muy simple: no hay nada corriendo en el servidor que se pueda atacar. Eso no te libera de cuidar tu hosting, tu dominio y tu correo, pero sí elimina la mayor parte de los riesgos que hoy tienen en vilo a miles de páginas.

Si quieres una página rápida y segura por diseño, revisa nuestros planes o escríbenos.

Seguridad de un sitio web estático frente a los ataques a PHP y Node.js