Si vas a desconectar tu web mientras se actualiza PHP por los fallos PHP2Shell, haz que responda con un código 503. Lo pidió John Mueller, de Google, el 21 de octubre de 2026. Ese mismo día OpenAI publicó un verificador gratuito que compara la versión de PHP que muestra una web con las versiones afectadas.
Lo que se sabe
- El consejo de Google: Mueller escribió en Bluesky el 21 de octubre, a las 10:26 de Lima, que quien baje webs PHP para hacer actualizaciones imprevistas debe «use HTTP 503 instead of letting responses time out». Pidió evitar también los 404 y los 500, y añadió que se puede hacer fuera de PHP: apuntando el DNS a otro sitio o desde una CDN.
- La guía que enlaza: la página de Search Central «Temporarily pause or disable a website» (actualizada el 10 de diciembre de 2025) dice que, para desactivar un sitio con urgencia uno o dos días, se sirva una página informativa con código 503 en lugar de todo el contenido. Desactivar la web entera es, según Google, una medida extrema que debe durar «unos pocos días como mucho».
- Los detalles técnicos de esa guía: no devolver 503 en el archivo robots.txt, porque bloquea todo el rastreo; usar la cabecera retry-after; servir HTML estático. Google avisa además de que, mientras una página da 503, no puede actualizar sus títulos, descripciones, metadatos ni datos estructurados.
- Por qué hay webs apagadas: según TechCrunch, la NSA de Estados Unidos aconsejó desconectar las webs que no puedan parchearse de inmediato. PHP publicó las versiones corregidas el 21 de octubre a las 14:00 UTC (9:00 en Lima).
- El verificador de OpenAI: se llama php2shell-checker y está en GitHub con licencia Apache 2.0. Trae dos skills para Codex, phpcheck-url (solo con la dirección de la web) y phpcheck-server (con acceso al servidor), y un script de Node que se puede ejecutar sin Codex. Lee la versión de PHP de las cabeceras X-Powered-By y Server, o de `php -v`, y no envía ataques.
- Sus límites, según el propio repositorio: el resultado OK es solo una comparación de versiones y no comprueba el arreglo. Las cabeceras se pueden ocultar o cambiar, y los parches de las distribuciones a veces no cambian el número de versión. Un UNKNOWN no significa que la web esté parcheada.
Qué cambia y qué no
La solución sigue siendo la misma: actualizar PHP en el servidor. Lo nuevo es cómo parar la web sin dañar su posición en Google.
Un 503 le dice al buscador que el corte es temporal. Un 404 dice que la página no existe, y un 500 o una página que no responde parecen un servidor roto. Google prefiere que la web siga en línea con funciones limitadas, pero si hay que apagarla, el 503 es la forma que su guía recomienda.
Un detalle importa aquí. El modo mantenimiento de WordPress o de Drupal también responde con 503, pero lo genera el propio PHP: la petición sigue llegando al software vulnerable. Por eso Mueller habla de hacerlo fuera de PHP.
El verificador de OpenAI no cambia nada en tu web. Solo mira lo que tu servidor dice de sí mismo, y muchos servidores no lo dicen.
Cómo hacerlo en tu web
- Intenta no apagar. Si tu hosting ya aplicó la versión corregida, no hace falta cortar nada.
- Si hay que cortar, hazlo antes de PHP. Con Cloudflare u otra CDN, una regla o página de mantenimiento que responda 503. Con servidor propio, una regla en nginx o Apache que devuelva 503 con un HTML estático. Con hosting compartido, pregunta al proveedor si puede poner la web en mantenimiento con 503 a nivel de servidor.
- Deja fuera robots.txt. Debe seguir respondiendo con 200.
- Añade retry-after con una hora o un plazo aproximado de vuelta.
- Compruébalo. `curl -I https://tuweb.com/` debe devolver «503 Service Unavailable». También se ve en el navegador: herramientas de desarrollo → Red → estado.
- Que dure poco. Unos días como mucho. Al volver, revisa en Search Console los errores de servidor y las estadísticas de rastreo.
- Para mirar tu versión, `curl -I` muestra la cabecera X-Powered-By si tu servidor la envía. El verificador de OpenAI hace lo mismo y la compara con las versiones afectadas. Si da OK o UNKNOWN, confirma la versión en el panel del hosting o con tu proveedor.
Relacionado: PHP2Shell: ya hay ataques contra PHP; qué hacer hoy
Fuentes
- John Mueller (Google), publicación en Bluesky del 21 de octubre de 2026 (en inglés)
- Google Search Central, «Temporarily pause or disable a website», actualizada el 10 de diciembre de 2025 (en inglés)
- OpenAI, repositorio php2shell-checker en GitHub (en inglés)
- PHP, «Security advisory: Critical remote code execution vulnerabilities, update now», 21 de octubre de 2026 (en inglés)
- TechCrunch, «PHP armageddon: OpenAI, Google's Wiz find ancient holes, panicking the internet», 21 de octubre de 2026 (en inglés)
- Search Engine Roundtable, «Google On Taking Sites Down When Fixing The Emergency PHP Exploit - PHP2Shell», 21 de octubre de 2026 (en inglés)
Actualizaciones: sin cambios desde la publicación.