¿Qué llega a mi propio servidor?
Últimos 7 días: del 24.10.2026 hasta hoy, a las 7 h, actualizado cada hora. Se aplica a todas las cifras y gráficos de esta página. No conservo los datos más de 90 días.
Unos 3.400 intentos de ataque en 7 días. Contra un único servidor pequeño.
Este es el servidor en el que funciona esta web. He contado las solicitudes que bloqueó mi cortafuegos y las peticiones de archivos que aquí no existen. Casi todo procede de programas que recorren internet entero día y noche. Nadie eligió a secureIT. Cualquier empresa con web, router o servidor de correo recibe lo mismo, por pequeña que sea.
550
intentos al día de media350
remitentes distintos66
países0,1 %
de escáneres de investigación conocidosPeriodo: últimos 7 días, del 24.10.2026 al 30.10.2026, a las 7 h, según lo elegido arriba.
PHP2Shell: lo que llega a mi servidor
PHP2Shell (CVE-2026-109618 y CVE-2026-109619) es un fallo crítico de PHP, el lenguaje de programación detrás de unas tres cuartas partes de todas las webs, WordPress y muchas tiendas incluidos. Conocido desde el 21 de octubre de 2026, explotado incluso antes. El atacante envía una subida de archivo preparada. PHP la descompone antes de que se ejecute la web, y así puede llegar código ajeno al servidor. Estas cuatro cifras muestran lo que me llega, desde la señal más clara hasta el ruido de fondo.
8
Subidas a direcciones sin función de subida
La señal más clara de PHP2Shell. Un visitante normal nunca envía un archivo a estas direcciones, porque la página no acepta ninguno. Pero PHP procesa una subida en cualquier dirección antes de que la página llegue a ejecutarse. Justo en ese procesamiento está el fallo.
2
Subidas manipuladas
Subidas cuya estructura está deformada a propósito, por ejemplo con separadores rotos o ausentes entre los archivos. El cortafuegos las bloquea. PHP2Shell necesita justo esas subidas deformadas para desestabilizar a PHP mientras las descompone.
15
Código PHP malicioso y comandos de sistema
Solicitudes que contienen código PHP u órdenes para el servidor. Si un ataque como PHP2Shell tiene éxito, es justo este código el que debe ejecutarse después.
unos 3.000
Búsqueda de archivos PHP
No es PHP2Shell, sino el ruido de fondo: los bots piden archivos PHP que aquí no existen, sobre todo puertas traseras e inicios de sesión de WordPress. Una parte busca justo las puertas traseras que quedan en un servidor tras una intrusión exitosa como PHP2Shell.
Desde fuera no se puede demostrar que un impacto concreto fuera realmente PHP2Shell. Mi servidor está parcheado.
¿Usa PHP en sus propios servidores? El fallo crítico PHP2Shell de octubre de 2026 está corregido a partir de PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones anteriores son vulnerables.
Periodo: últimos 7 días, del 24.10.2026 al 30.10.2026, a las 7 h, según lo elegido arriba. Solo cuento las subidas desde el 29.10.2026; antes solo aparecen ahí los bloqueos del cortafuegos.
Qué se intentó
- Búsqueda de puertas traseras unos 1.550
Solicitudes de archivos con nombres típicos de webshells. Los bots esperan dar con una puerta trasera que otro atacante dejó antes en el servidor.
- Ataques a WordPress unos 1.350
Intentos de inicio de sesión con contraseñas adivinadas y búsqueda de plugins vulnerables. Mi servidor ni siquiera usa WordPress, pero los bots lo intentan igual.
- Búsqueda de credenciales unos 250
Intentos de obtener archivos de configuración con contraseñas y claves que quedan expuestos en sitios web mal configurados.
- Solicitudes sospechosas de bots unos 110
Solicitudes que incumplen las reglas de la web o llevan los rasgos típicos de scripts de escaneo sencillos.
- Sondeo del servidor unos 70
Solicitudes de páginas de prueba y de estado para conocer versiones de software y elegir fallos a medida.
- Inyección de código unos 40
Solicitudes con código malicioso: comandos SQL contra la base de datos, comandos de shell, scripts o subidas manipuladas que buscan que el servidor ejecute código ajeno.
- Fallos de otro software unos 19
Fallos conocidos de programas, routers y cortafuegos que ni siquiera uso. Los escáneres los prueban a ciegas en cada dirección de internet.
- Herramientas de administración unos 8
Búsqueda de gestores de bases de datos y de archivos accesibles abiertamente.
- Otros unos 7
Otras solicitudes bloqueadas o sin destino, sin un patrón claro.
Periodo: últimos 7 días, del 24.10.2026 al 30.10.2026, a las 7 h, según lo elegido arriba.
Cada día, a cada hora
24.10.30.10.2026
Periodo: últimos 7 días, del 24.10.2026 al 30.10.2026, a las 7 h, según lo elegido arriba. Una barra por día; la de hoy aún no está completa.
0 h12 h23 h
Periodo: últimos 7 días, del 24.10.2026 al 30.10.2026, a las 7 h, según lo elegido arriba. Por hora del día, hora alemana, sumado en todos los días.
No hay ninguna hora tranquila: estos programas no conocen ni el fin de la jornada ni el fin de semana.
Dónde están los equipos emisores
Periodo: últimos 7 días, del 24.10.2026 al 30.10.2026, a las 7 h, según lo elegido arriba.
- Corea del Surunos 650
- Singapurunos 600
- Hong Kongunos 600
- Australiaunos 500
- Alemaniaunos 200
- Bélgicaunos 150
- EE. UU.unos 80
- Franciaunos 70
El país indica dónde está el equipo, no dónde está la persona que hay detrás. Los atacantes alquilan máquinas en centros de datos ajenos o usan routers y PC secuestrados. Cuidado, por tanto, con conclusiones como «los ataques vienen del país X».
Fuente: análisis propio de los registros del servidor secureit.icu. Cifras grandes redondeadas. No publico a propósito direcciones, solicitudes concretas ni ajustes del cortafuegos. Países: IP Geolocation by DB-IP (CC BY 4.0).