En resumen: en la seguridad web de una farmacia se trata de datos de salud: quien reserva un medicamento o fotografía una receta revela algo sobre su salud. Aclare quién opera su servidor web, haga que le confirmen el parche de PHP y el reinicio, y esté atento a la publicidad oculta de medicamentos que los atacantes introducen con gusto en las webs de farmacias.
Qué sistemas PHP utilizan las farmacias
Muchas farmacias tienen una web con horarios, aviso de farmacia de guardia y un formulario de reserva de medicamentos. A menudo se añade una función para subir fotos de recetas o planes de medicación, además de solicitudes para el servicio de reparto a domicilio y citas para asesoramiento o vacunaciones. Las farmacias de venta por correo y las que hacen comercio en línea operan además una tienda, por ejemplo con WooCommerce o Shopware 6.
Algunas páginas proceden de paquetes web de cooperativas o de proveedores especializados; otras las ha construido una agencia local. Para PHP2Shell, de ello depende quién opera el servidor y, por tanto, quién es responsable del parche de PHP.
Las solicitudes de reparto a domicilio son especialmente reveladoras. Unen domicilio, teléfono y medicamento, a menudo de personas mayores o dependientes. Quien captura estos registros sabe quién vive solo, qué medicamentos se necesitan con regularidad y cuándo se entrega. Eso las hace interesantes para estafadores que se dirigen de forma específica a personas mayores.
Datos de salud: por qué ya un formulario de reserva es sensible
Nombre más medicamento da un dato de salud. Estas indicaciones pertenecen a las categorías especiales de datos personales del art. 9 del RGPD. Para los farmacéuticos rige además una obligación de confidencialidad cuya vulneración puede ser punible según el § 203 del Código Penal alemán (StGB).
En el servidor web estos datos están en varios lugares: en la base de datos del plugin de formularios, en las fotos de recetas subidas, en las colas de correo y, en la tienda, en los historiales de pedidos. Quien puede ejecutar código con PHP2Shell suele llegar a todo ello sin tener que iniciar sesión.
Farmacia y seguridad web: qué causa un ataque
- Fuga de datos: las reservas y las fotos de recetas permiten sacar conclusiones sobre enfermedades. El riesgo para los afectados es alto y las obligaciones de notificación del RGPD son plausibles. El plazo de 72 horas lo valora con su delegado de protección de datos.
- Spam farmacéutico: los atacantes introducen páginas ocultas con publicidad de medicamentos sujetos a receta. Los buscadores degradan la página o muestran una advertencia, como se describe en la guía Eliminar la advertencia de Google.
- Reservas perdidas: si el formulario se cae o redirige, los clientes se presentan en el mostrador y el medicamento no está reservado.
- Tienda manipulada: un código modificado en el proceso de pedido puede capturar datos de pago o enviar a los clientes a páginas falsas.
Una actualización de la tienda o del CMS no cierra PHP2Shell. La vulnerabilidad solo está corregida con PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 o con un backport confirmado por el proveedor, y solo tras reiniciar todos los procesos de PHP.
El hueco de responsabilidades en la farmacia
| Ámbito | Responsable habitual | Qué suele quedar sin aclarar |
|---|---|---|
| Gestión de mercancías, cajas, infraestructura telemática | Casa de software o TI de la farmacia | Conexión con la tienda en línea |
| Web de un paquete de cooperativa | Proveedor del paquete | Confirmación escrita del parche |
| Web o tienda propias | Agencia y proveedor de hosting | Quién actualiza PHP y reinicia |
En las agrupaciones de sucursales se suma que cada sucursal puede tener formularios o dominios propios que nadie lleva de forma centralizada.
Diseñar con economía de datos la reserva y la carga de recetas
Muchos formularios de farmacias guardan más de lo necesario. Una reserva necesita nombre, un medio de contacto y el preparado deseado, no fecha de nacimiento, dirección ni diagnóstico. Las fotos de recetas no deberían permanecer de forma permanente en la carpeta de cargas accesible públicamente, sino borrarse tras la recogida.
Compruebe además adónde van los datos de los formularios. Si cada reserva llega como correo sin cifrar a un buzón colectivo al que acceden muchos empleados, el buzón necesita tanta protección como el servidor. Y si un plugin de formularios guarda además cada solicitud en la base de datos, allí crece cada mes un archivo de datos de salud que nadie necesita.
Cuanto menos haya en el servidor web, menor será el daño si aun así se compromete. La decisión sobre los plazos de conservación la toma con su delegado de protección de datos.
Las primeras horas para la dirección de la farmacia
- Preguntar por escrito al operador del servidor web por el estado del parche de PHP y el reinicio.
- Sin confirmación: desactivar el formulario de reservas y la carga de recetas y pasar al teléfono. Basta un aviso en la página de inicio.
- Hacer conservar los registros desde el 20/10/2026.
- Comprobar en Google Search Console si se notifican páginas desconocidas o problemas de seguridad.
- Hacer borrar, previo acuerdo con el delegado de protección de datos, las fotos de recetas antiguas y las entradas de formularios que ya no se necesiten.
¿Cómo ayuda PHP SOS en concreto?
- Aclaramos con el proveedor del paquete, la agencia o el proveedor de hosting quién parchea PHP y recabamos la confirmación con el estado del paquete.
- Examinamos la web y la tienda en busca de webshells, spam farmacéutico introducido y código de pedido modificado, y eliminamos el software malicioso que encontremos.
- Mostramos dónde hay datos de salud en el servidor y ayudamos a limitar el tiempo de conservación y las cargas.
- Documentamos los hallazgos de modo que su delegado de protección de datos pueda valorar la obligación de notificar.
Preguntas frecuentes
¿Afecta PHP2Shell a nuestra gestión de mercancías?
La gestión de mercancías de la farmacia y el acceso a la infraestructura telemática suelen funcionar separados de la web. Los afectados son los servidores web con PHP, es decir, normalmente la web, el formulario de reservas y la tienda en línea. Si existen interfaces entre la tienda y la gestión de mercancías, debería comprobarlo su proveedor de servicios informáticos.
Nuestra web procede de un paquete de nuestra cooperativa. ¿Quién es responsable?
En los paquetes web de cooperativas, mayoristas o proveedores especializados, el servidor lo opera normalmente el proveedor. Entonces el parche de PHP le corresponde a él. Pregunte por escrito por el estado, porque la responsabilidad sobre los datos de sus clientes sigue siendo de su farmacia.
¿Qué es un hackeo farmacéutico (pharma hack)?
Se llama así a los ataques en los que se introducen, en una web comprometida, páginas o enlaces ocultos de publicidad de medicamentos. Los visitantes a menudo no ven nada de ello, pero los buscadores sí. En una farmacia es especialmente delicado, porque esos contenidos aparecen bajo un nombre de confianza.