En resumen: una vulnerabilidad en la web de un municipio es un incidente con repercusión pública. Aclare quién opera el servidor, haga que le confirmen el parche de PHP y el reinicio, y tenga lista una página de emergencia por si la presencia en línea tiene que desconectarse temporalmente de la red. La comunicación a la ciudadanía y a la prensa debería estar coordinada antes de que lleguen las preguntas.
Qué sistemas PHP operan típicamente los municipios
Muchas webs municipales funcionan con TYPO3 y, además, con otros sistemas PHP. En torno a la web principal surgen otras aplicaciones: formularios en línea para solicitudes e inscripciones, buzones de incidencias, calendarios de eventos, participación ciudadana, portales de empleo, preinscripción en guarderías, páginas de turismo, catálogos de bibliotecas y sitios web de centros individuales como la escuela de música o los servicios municipales.
Algunas de estas aplicaciones las opera el propio municipio; otras, un centro de datos municipal, una mancomunidad o un fabricante de procedimientos especializados. Quien quiera cerrar una vulnerabilidad en PHP debe saber primero en los servidores de quién funciona cada aplicación.
Los municipios pequeños a menudo no tienen departamento informático propio. Allí, un empleado de la secretaría general atiende la web como tarea secundaria, la tecnología está en manos de una agencia y los contratos proceden de una época en la que nadie pensaba en vulnerabilidades críticas en el lenguaje de programación. Las ciudades más grandes tienen el problema contrario: tantas presencias de oficinas, proyectos y centros que casi nadie conoce la lista completa.
Qué está en juego en las webs municipales
En formularios y portales hay datos de los ciudadanos: domicilios, fechas de nacimiento, datos de niños en las inscripciones de guarderías y colegios, fotos y ubicaciones en los avisos de incidencias, candidaturas. Para los organismos públicos rigen el RGPD y la ley de protección de datos del estado federado, y suele ser competente la autoridad de protección de datos del estado.
Al menos igual de grave es la integridad: la web de un municipio es una fuente oficial. Los contenidos manipulados, los anuncios falsificados o las redirecciones a páginas fraudulentas con el nombre de la ciudad dañan la confianza mucho más allá del daño técnico.
Los dominios municipales gozan de confianza entre los ciudadanos y los buscadores. Eso es justo lo que los hace atractivos para los atacantes: como remitente de spam, como almacén de páginas fraudulentas o como plataforma para falsas noticias, por ejemplo sobre elecciones, temporales o tasas.
Municipio y vulnerabilidad web: ¿quién decide qué?
| Función | Tarea típica en el incidente |
|---|---|
| Centro de datos municipal o prestador de servicios informáticos | Servidor, paquetes de PHP, reinicio, separación de la red |
| Secretaría general o coordinación informática | Dirección global, contratación, plan de emergencia |
| Oficina de prensa | Información a ciudadanos y medios |
| Delegado de protección de datos de la administración | Valoración de la obligación de notificar |
| Agencia web | CMS, extensiones, contenidos |
El hueco aparece con frecuencia entre el centro de datos y la agencia: el centro de datos opera el servidor, la agencia mantiene TYPO3 y cada parte supone que la otra se ocupa de PHP. Una actualización de TYPO3 no cierra PHP2Shell.
El BSI (Oficina Federal alemana para la Seguridad de la Información) ha valorado la situación con nivel de alerta 3 / naranja y recomienda actualizar de inmediato. Si un servidor web municipal no puede parchearse de inmediato, desconéctelo temporalmente de la red y active una página de emergencia estática.
Las primeras horas en la administración
- Listar todas las presencias en línea y aplicaciones especializadas con acceso web, incluidos centros y turismo.
- Hacer que cada operador confirme por escrito: PHP en 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o backport aplicado, y todos los procesos reiniciados.
- Desconectar de la red los sistemas no confirmados o protegerlos hasta el parche con parcheo virtual. Cloudflare señala que las reglas basadas solo en los datos de la petición no bastan; es un puente, no un sustituto.
- Conservar los registros desde el 20/10/2026.
- Informar a la oficina de prensa y al delegado de protección de datos y acordar un mensaje objetivo. Ayuda para ello ofrece la página sobre comunicación de crisis.
Lo que el BSI recomienda en detalle lo resume la página Recomendaciones del BSI sobre PHP2Shell. Las cuestiones de contratación pública y de encargos de emergencia las aclara según sus normas internas.
Prevención: página de emergencia, inventario y sustitución
La próxima vulnerabilidad crítica llegará con seguridad. Tres preparativos ahorran entonces horas: una página de emergencia estática ya hecha, con números de teléfono, horarios y avisos sobre asuntos urgentes, que pueda servirse sin PHP. Un inventario actualizado de todas las aplicaciones web con operador, interlocutor y base contractual. Y una regulación de sustituciones, para que decisiones como desconectar la web puedan tomarse también por la noche y en fin de semana.
Estos puntos pertenecen al plan de emergencia informática de la administración. Las empresas municipales, los servicios municipales y los centros con webs propias deberían figurar en él de forma expresa, porque de lo contrario faltan en el inventario.
¿Cómo ayuda PHP SOS en concreto?
- Apoyamos a su coordinación informática en el inventario y aclaramos con el centro de datos, los fabricantes y la agencia quién parchea cada sistema.
- Donde usted opera por cuenta propia, asumimos mediante el servicio de parches de PHP la actualización, el reinicio y el justificante por escrito.
- Ante una sospecha de compromiso, conservamos los rastros y revisamos los contenidos en busca de manipulaciones antes de que la web vuelva a estar en línea.
- Documentamos el desarrollo de modo que el delegado de protección de datos, la dirección de la administración y el órgano de fiscalización puedan seguirlo.
Preguntas frecuentes
¿Podemos desactivar sin más la web del municipio?
El BSI recomienda desconectar temporalmente los servidores web de la red si no es posible actualizar de inmediato. Para los municipios resulta adecuada una página de emergencia estática con las principales vías de contacto. Quién puede decidirlo internamente debería constar en el plan de emergencia.
¿Está afectado el sistema de información del pleno?
Depende de la tecnología y de la operación. Los sistemas de información de plenos y los servicios en línea suelen operarlos fabricantes de procedimientos especializados o centros de datos municipales. Pregunte allí de forma concreta por el uso de PHP, el estado del parche y el reinicio.
¿Qué autoridad de protección de datos es competente para los municipios?
Para los organismos públicos de los estados federados y los municipios suele ser competente la autoridad de protección de datos del estado federado correspondiente. Además se aplican las leyes de protección de datos de cada estado. Su delegado de protección de datos de la administración conoce las vías de notificación.