Qué ha ocurrido
El 21 de octubre de 2026, PHP publicó correcciones para CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell. Estos fallos pueden permitir que un atacante ejecute código en un servidor web afectado sin iniciar sesión. El aviso oficial de PHP detalla las instalaciones afectadas y las actualizaciones. La NSA recomendó a los responsables instalar los parches cuanto antes y considerar desconectar los sistemas afectados si no podían protegerlos. Un cierre preventivo no constituye por sí solo una prueba de intrusión. Los responsables deben consultar las indicaciones actuales de los proveedores, incluidos los avisos posteriores, en lugar de usar este artículo como lista de pasos para instalar parches.
Qué significa para tus datos
El riesgo inmediato afecta a los servicios con instalaciones PHP vulnerables y a la información a la que esos servicios pueden acceder. No demuestra que todo el almacenamiento en línea sea inseguro ni que tus archivos se hayan filtrado. Como visitante, no puedes corregir los servidores de un proveedor. Puedes limitar lo que subes, mantener tu software actualizado y consultar los avisos oficiales de seguridad del proveedor. Si tu cuenta está afectada, sigue sus instrucciones verificadas. Evita los enlaces para restablecer contraseñas en mensajes inesperados: accede directamente al servicio. Guarda una copia de seguridad independiente de los archivos que no puedes permitirte perder.
Dónde ayuda el cifrado y cuáles son sus límites
Cifrar los archivos en tu dispositivo antes de subirlos, con las claves fuera del servidor, ayuda a proteger su contenido si se roban las copias almacenadas. No hace inofensiva cualquier intrusión en un servidor: los atacantes aún pueden ver metadatos, borrar archivos o modificar el código que una aplicación web envía a tu navegador. Ese código podría robar claves cuando utilices la aplicación, un riesgo descrito en el modelo de seguridad de Proton. Un cifrado sólido también necesita dispositivos seguros y software fiable. Los archivos que permanecen solo en tu dispositivo no quedan expuestos por una intrusión en un servicio al que nunca los subiste.
Elige qué se queda en tu dispositivo
No puedes evitar todos los fallos de software, pero sí elegir dónde se guardan tus archivos privados. Sealby cifra el contenido de las bóvedas en tu dispositivo. Mantén una bóveda solo en local si no quieres subir su contenido; la sincronización cifrada con iCloud es opcional y se activa por separado para cada bóveda en Ajustes. Si activas la sincronización o creas una copia de seguridad cifrada, puede haber copias fuera de tu dispositivo. Su protección sigue dependiendo de que guardes a salvo tus credenciales de desbloqueo y tu frase de recuperación. El cifrado no protege una bóveda ya desbloqueada frente a alguien que controle tu dispositivo ni elimina los originales que hayas dejado en otras aplicaciones o servicios en la nube.