Guías de seguridad PHP: clases de vulnerabilidades, seguridad de versiones y correcciones de distribuciones

Guías de seguridad PHP

Más allá de PHP2Shell, la mayoría de los compromisos de sitios PHP provienen de unas pocas clases de fallos conocidas en el código de la aplicación. Estas guías explican cada una con claridad, cómo encontrarla en su código y cómo corregirla.

Última actualización 2026-10-22

Clases de vulnerabilidades PHP comunes

Inyección de objetos PHP: qué es y cómo corregirlaLa inyección de objetos PHP ocurre cuando una entrada controlada por el usuario llega a unserialize(), que puede instanciar objetos cuyos métodos mágicos ejecutan la lógica que elige el atacante.
Inclusión de archivos en PHP (LFI/RFI): qué es y cómo corregirlaLa inclusión de archivos ocurre cuando la entrada del usuario controla la ruta que recibe include o require, lo que permite leer archivos locales (LFI) o, con allow_url_include activado, ejecutar código remoto (RFI).
SSRF en PHP: qué es y cómo corregirlaLa falsificación de peticiones del lado del servidor (SSRF) ocurre cuando una app PHP descarga una URL controlada por el usuario, lo que permite alcanzar servicios internos o endpoints de metadatos de la nube a través de su servidor.
XSS en PHP: qué es y cómo prevenirloEl cross-site scripting (XSS) ocurre cuando una página PHP imprime en HTML datos controlados por el usuario sin escapar, de modo que el script de un atacante se ejecuta en el navegador de otros visitantes.
Exposición de phpinfo(): por qué importa y cómo corregirlaUna página phpinfo() pública revela la versión exacta de PHP, los módulos cargados, las rutas y a menudo variables de entorno o secretos, lo que ayuda a los atacantes a apuntar a fallos como PHP2Shell.

Versiones, distribuciones y avisos relacionados

Fuentes

Los enlaces externos salen de este sitio. No alojamos código de explotación.

Cross Site Scripting Prevention Cheat Sheet — OWASP Cheat Sheet Series
Server-Side Request Forgery Prevention Cheat Sheet — OWASP Cheat Sheet Series
Supported Versions — PHP project (php.net)
Security update available for Adobe Commerce | APSB25-88 — Adobe