En resumen: una webshell es un pequeño archivo mediante el cual un tercero puede controlar su servidor a distancia. Quien ha encontrado una está muy probablemente afectado y debería ponerse en contacto de inmediato. No la borre, no la abra, asegúrela primero. Aclaramos en remoto cómo llegó al servidor y si hay más accesos, y limpiamos el servidor.
No borre nada ahora y no reinstale nada. También la propia webshell debe permanecer de momento donde está, para poder asegurarla. ¿Le afecta? Llame o escriba por WhatsApp, o comunique el hallazgo mediante Comunicar la emergencia.
Ha encontrado una webshell: ¿qué significa?
Una webshell es un script PHP (o un script en otro lenguaje de servidor) que recibe órdenes desde fuera. Con ella los atacantes pueden leer archivos, descargar datos, volver a cargar código malicioso y llegar a otros sistemas. Por eso el archivo rara vez es el objetivo del ataque. Es la puerta trasera que deja un intruso para volver.
Esto tiene dos consecuencias. Primera: alguien ya tuvo acceso de escritura a su servidor o pudo ejecutar código. Segunda: el archivo encontrado probablemente no es el único. A ello se añade lo que a menudo no se sabe: ¿desde cuándo está ahí y qué se ha hecho con él entretanto?
Cómo reconocer una webshell
- un archivo PHP en una carpeta donde no debería haber ninguno, como subidas, caché, imágenes o directorios temporales
- nombres de archivo que parecen archivos del sistema pero no pertenecen a su software, o nombres con doble extensión
- código ilegible con largas cadenas de caracteres, codificación y funciones para ejecutar comandos, véase Reconocer código PHP ofuscado
- una fecha de modificación que no encaja con sus actualizaciones
- accesos a ese archivo en los registros, a menudo desde direcciones ajenas y con solicitudes POST
- procesos del servidor web que inician una shell, como se describe en Señal de alarma: el servidor web inicia una shell
Cómo interpretar bien los hallazgos se explica en Archivos PHP en la carpeta de subida y, con detalle, en Reconocer y eliminar webshells.
Qué hacer ahora mismo
- No abrir ni ejecutar el archivo. Ninguna prueba en el navegador.
- No borrarlo ni moverlo. No modifique ni el contenido ni la marca de tiempo.
- Anotar: ruta completa, nombre del archivo, momento del hallazgo, quién lo descubrió y con qué.
- Asegurar el archivo y sus metadatos: una copia con propietario, permisos y marcas de tiempo. Bastan comandos de revisión de solo lectura, por ejemplo:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Conservar los registros: no deje que se sobrescriban los registros de acceso y de errores del servidor web y de PHP. La prensa especializada aconseja conservar los registros del servidor desde el 20/10/2026.
- Aislar el servidor si es necesario: si sospecha que están saliendo datos, ponga el sitio fuera de línea. Cómo conservar pruebas al hacerlo se describe en Asegurar pruebas antes de reinstalar.
- Informarnos antes de cambiar contraseñas o de limpiar archivos.
¿Cómo ayuda PHP SOS en concreto?
- Evaluar la situación: ¿qué se encontró, dónde, cuándo y quién lo encontró? ¿Qué sistemas hay en el mismo servidor?
- Asegurar y cerrar: aseguramos el hallazgo, los archivos, la base de datos y los registros y bloqueamos los accesos que parezcan sospechosos.
- Revisar y limpiar: buscamos más webshells, archivos del núcleo modificados, tareas cron ocultas, cuentas de administrador ajenas y claves SSH desconocidas, y los eliminamos. El procedimiento corresponde al servicio Eliminar malware y webshells.
- Reforzar e informar: señalamos la vía de entrada probable, la cerramos y protegemos el servidor. Recibe una documentación con hallazgos y cronología.
¿Cómo llegó la webshell al servidor?
Las vías típicas son plugins o extensiones obsoletos, subidas de archivos inseguras, credenciales robadas y vulnerabilidades en el software del servidor. Desde la publicación de PHP2Shell se suma otra posibilidad: un PHP sin las correcciones de 8.5.12, 8.4.27, 8.3.36 u 8.2.35 puede ser utilizado de forma abusiva a distancia para ejecutar código. No hay indicadores de compromiso confirmados al respecto; la detección se basa en el comportamiento. Si la entrada en su caso se produjo a través de PHP2Shell o por otra vía solo puede deducirse de los rastros, y señalamos qué está demostrado y qué es una suposición. Cómo ayudan los registros lo muestra Analizar los registros del servidor web.
Un parche no elimina una webshell existente. También forma parte la protección frente a futuros hallazgos: Prohibir la ejecución de PHP en las carpetas de subida evita muchos casos. Tenga en cuenta además los límites de los escáneres de malware: un análisis sin hallazgos no es una señal de que todo esté despejado.
Si necesita saber con exactitud qué ha ocurrido, por ejemplo para la aseguradora o las autoridades, puede ser útil un análisis forense informático.
¿Y si la webshell vuelve tras borrarla?
Sucede con frecuencia y suele tener dos motivos. O hay al menos otra puerta trasera que vuelve a crear el archivo, o la puerta de entrada sigue abierta y el atacante simplemente vuelve. Ninguna de las dos cosas se resuelve borrando una y otra vez. Por eso buscamos el conjunto de los cambios: archivos nuevos y modificados, entradas en la base de datos y en la configuración, tareas programadas, cuentas. Una lista de los archivos modificados recientemente es un buen comienzo, pero no sustituye la revisión por especialistas.
Qué debería enviarnos
- ruta y nombre del archivo, a ser posible como copia con marcas de tiempo (acordamos la forma de entrega)
- extractos de los registros de acceso en torno a ese archivo, si tiene acceso
- tipo de servidor, proveedor de hosting, versión de PHP y modo de ejecución, si se conocen
- qué sitios web y aplicaciones se ejecutan en el servidor
- cuándo fueron las últimas actualizaciones, subidas o cambios
Por qué PHP SOS
Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Un único interlocutor le guía durante el incidente. Trabajamos en remoto, sin desplazamientos, en toda Europa, documentamos cada paso y no hacemos promesas que nadie pueda cumplir. Seguimos hasta que el incidente esté cerrado y documentado.
¿Le afecta? Llame. Le ayudamos.
Una webshell encontrada es una señal de alarma que debe tomarse en serio. Póngase en contacto ahora, por llamada o WhatsApp, y nos hacemos cargo desde el primer mensaje. Comunicar la emergencia ahora
Preguntas frecuentes
He encontrado una webshell. ¿Puedo borrar el archivo sin más?
Por favor, no como primer paso. El archivo muestra cuándo y con qué llegó el atacante. Asegúrelo primero junto con las marcas de tiempo y el propietario; después se elimina de forma selectiva. Quien solo borra suele dejar más accesos.
¿Debo abrir el archivo sospechoso en el navegador para ver qué hace?
No. Abrirlo puede ejecutar el código malicioso y borrar más rastros. Revise el archivo solo en modo lectura y, a ser posible, sobre una copia.
¿Basta un escáner de malware para encontrar todas las webshells?
No de forma fiable. Los escáneres reconocen patrones conocidos, pero se les escapan las webshells ofuscadas o recién construidas. Un análisis limpio no demuestra que ya no quede nada.
¿Cómo sé cuánto tiempo lleva la webshell en el servidor?
Dan pistas la fecha de modificación, los registros de acceso y de errores y las comparaciones con otros archivos nuevos. Pero las marcas de tiempo pueden falsificarse. Por eso valoramos varias fuentes y señalamos qué está demostrado y qué es una suposición.
¿Tengo que notificar el hallazgo?
En cuanto puedan estar afectados datos personales, puede ser necesaria una notificación a la autoridad de control. Sobre ello asesoran los delegados de protección de datos o los abogados; nosotros aportamos los hechos técnicos.