¿Qué llega a mi propio servidor?
Últimos 30 días: del 01.10.2026 hasta hoy, a las 8 h, actualizado cada hora. Se aplica a todas las cifras y gráficos de esta página. No conservo los datos más de 90 días.
Unos 22.000 intentos de ataque en 30 días. Contra un único servidor pequeño.
Este es el servidor en el que funciona esta web. He contado las solicitudes que bloqueó mi cortafuegos y las peticiones de archivos que aquí no existen. Casi todo procede de programas que recorren internet entero día y noche. Nadie eligió a secureIT. Cualquier empresa con web, router o servidor de correo recibe lo mismo, por pequeña que sea.
750
intentos al día de media1.050
remitentes distintos106
paísesmenos del 0,1 %
de escáneres de investigación conocidosPeriodo: últimos 30 días, del 01.10.2026 al 30.10.2026, a las 8 h, según lo elegido arriba.
PHP2Shell: lo que llega a mi servidor
PHP2Shell (CVE-2026-109618 y CVE-2026-109619) es un fallo crítico de PHP, el lenguaje de programación detrás de unas tres cuartas partes de todas las webs, WordPress y muchas tiendas incluidos. Conocido desde el 21 de octubre de 2026, explotado incluso antes. El atacante envía una subida de archivo preparada. PHP la descompone antes de que se ejecute la web, y así puede llegar código ajeno al servidor. Estas cuatro cifras muestran lo que me llega, desde la señal más clara hasta el ruido de fondo.
8
Subidas a direcciones sin función de subida
La señal más clara de PHP2Shell. Un visitante normal nunca envía un archivo a estas direcciones, porque la página no acepta ninguno. Pero PHP procesa una subida en cualquier dirección antes de que la página llegue a ejecutarse. Justo en ese procesamiento está el fallo.
2
Subidas manipuladas
Subidas cuya estructura está deformada a propósito, por ejemplo con separadores rotos o ausentes entre los archivos. El cortafuegos las bloquea. PHP2Shell necesita justo esas subidas deformadas para desestabilizar a PHP mientras las descompone.
15
Código PHP malicioso y comandos de sistema
Solicitudes que contienen código PHP u órdenes para el servidor. Si un ataque como PHP2Shell tiene éxito, es justo este código el que debe ejecutarse después.
unos 21.000
Búsqueda de archivos PHP
No es PHP2Shell, sino el ruido de fondo: los bots piden archivos PHP que aquí no existen, sobre todo puertas traseras e inicios de sesión de WordPress. Una parte busca justo las puertas traseras que quedan en un servidor tras una intrusión exitosa como PHP2Shell.
Desde fuera no se puede demostrar que un impacto concreto fuera realmente PHP2Shell. Mi servidor está parcheado.
¿Usa PHP en sus propios servidores? El fallo crítico PHP2Shell de octubre de 2026 está corregido a partir de PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones anteriores son vulnerables.
Periodo: últimos 30 días, del 01.10.2026 al 30.10.2026, a las 8 h, según lo elegido arriba. Solo cuento las subidas desde el 29.10.2026; antes solo aparecen ahí los bloqueos del cortafuegos.
Qué se intentó
- Búsqueda de puertas traseras unos 14.300
Solicitudes de archivos con nombres típicos de webshells. Los bots esperan dar con una puerta trasera que otro atacante dejó antes en el servidor.
- Ataques a WordPress unos 5.800
Intentos de inicio de sesión con contraseñas adivinadas y búsqueda de plugins vulnerables. Mi servidor ni siquiera usa WordPress, pero los bots lo intentan igual.
- Búsqueda de credenciales unos 1.300
Intentos de obtener archivos de configuración con contraseñas y claves que quedan expuestos en sitios web mal configurados.
- Sondeo del servidor unos 300
Solicitudes de páginas de prueba y de estado para conocer versiones de software y elegir fallos a medida.
- Fallos de otro software unos 130
Fallos conocidos de programas, routers y cortafuegos que ni siquiera uso. Los escáneres los prueban a ciegas en cada dirección de internet.
- Solicitudes sospechosas de bots unos 110
Solicitudes que incumplen las reglas de la web o llevan los rasgos típicos de scripts de escaneo sencillos.
- Herramientas de administración unos 60
Búsqueda de gestores de bases de datos y de archivos accesibles abiertamente.
- Inyección de código unos 40
Solicitudes con código malicioso: comandos SQL contra la base de datos, comandos de shell, scripts o subidas manipuladas que buscan que el servidor ejecute código ajeno.
- Otros unos 40
Otras solicitudes bloqueadas o sin destino, sin un patrón claro.
Periodo: últimos 30 días, del 01.10.2026 al 30.10.2026, a las 8 h, según lo elegido arriba.
Cada día, a cada hora
01.10.30.10.2026
Periodo: últimos 30 días, del 01.10.2026 al 30.10.2026, a las 8 h, según lo elegido arriba. Una barra por día; la de hoy aún no está completa.
0 h12 h23 h
Periodo: últimos 30 días, del 01.10.2026 al 30.10.2026, a las 8 h, según lo elegido arriba. Por hora del día, hora alemana, sumado en todos los días.
No hay ninguna hora tranquila: estos programas no conocen ni el fin de la jornada ni el fin de semana.
Dónde están los equipos emisores
Periodo: últimos 30 días, del 01.10.2026 al 30.10.2026, a las 8 h, según lo elegido arriba.
- Corea del Surunos 5.900
- Australiaunos 5.100
- Indiaunos 3.400
- Japónunos 2.000
- Hong Kongunos 1.400
- Singapurunos 750
- Alemaniaunos 650
- Bélgicaunos 650
El país indica dónde está el equipo, no dónde está la persona que hay detrás. Los atacantes alquilan máquinas en centros de datos ajenos o usan routers y PC secuestrados. Cuidado, por tanto, con conclusiones como «los ataques vienen del país X».
Fuente: análisis propio de los registros del servidor secureit.icu. Cifras grandes redondeadas. No publico a propósito direcciones, solicitudes concretas ni ajustes del cortafuegos. Países: IP Geolocation by DB-IP (CC BY 4.0).