# PHP2Shell: protege tu inversión en ads mientras parcheas > Dos fallos críticos de PHP ponen en riesgo tu web. Cómo proteger tu inversión en Google Ads, Meta y Amazon Ads mientras tu equipo técnico parchea. - URL: https://roicos.com/php2shell-proteger-inversion-ads-parchear-web/ - Autor: Carlos Martínez Barriga - Publicado: 2026-10-22 - Categorías: Marketing Digital, Noticias --- **Resumen ejecutivo** - **Qué pasa:** el 21 de octubre PHP publicó parches (8.5.12, 8.4.27, 8.3.36 y 8.2.35) para dos fallos críticos, conocidos como PHP2Shell, que permiten ejecutar código en el servidor sin usuario ni contraseña. - **Impacto en paid media:** si tu web DTC corre sobre PHP (WordPress, WooCommerce, PrestaShop, Magento), cada euro que mandas a esa web depende de que esté parcheada, limpia y cargando. Las campañas que apuntan a Amazon no dependen de tu servidor. - **Lo que casi nadie mira:** las claves de medición que viven en el servidor, como tokens de conversiones en servidor, pueden quedar expuestas si el servidor lo estuvo. - **Qué hacer hoy:** decidir qué campañas siguen, cuáles bajan y cuáles se pausan, anotar la ventana de mantenimiento en tus informes y comprobar la medición al volver. Tu web muestra un cartel de «en mantenimiento». Tus campañas no lo saben y siguen pujando. Esa escena se repitió esta semana en medio continente. Según [Xataka](https://www.xataka.com/seguridad/fallo-critico-php-ha-puesto-jaque-a-medio-internet-gobiernos-organizaciones-apagan-sus-webs-intentan-parchearlo), administraciones de Países Bajos, Finlandia, Dinamarca y Francia retiraron webs de internet de forma temporal, y hasta el CCN-CERT de España mostraba un aviso de mantenimiento. El mismo medio aclara que no hay evidencia de que esos cierres respondieran a intrusiones confirmadas: eran precaución. Precaución que, si eres un seller o una marca DTC, tiene un coste directo en tu cuenta publicitaria. ## Lo que cuesta una landing caída con la campaña encendida Las tres fugas son silenciosas. Primera: clics pagados que llegan a un error 503 o a una página lenta. No convierten, y el algoritmo lo interpreta como señal de que ese tráfico no vale. Segunda: los feeds. Si Google Merchant Center no puede rastrear tus páginas de producto, puede marcar productos como no disponibles, y tu Shopping o Performance Max se queda sin catálogo justo cuando más lo necesitas. Tercera, y la más seria: una web comprometida. Google puede dejar de aprobar anuncios que apunten a sitios con software malicioso, y recuperar ese estado lleva días, no horas. ## Qué campañas mantener, bajar o pausar Aquí va nuestro criterio, que no es el único posible pero sí el que aplicamos: **Se mantienen:** las campañas de Amazon Ads (Sponsored Products, Brands, Display y DSP). El clic aterriza en Amazon, no en tu servidor. Antes de mover un euro de una a otra, mira ACOS y ROAS reales: que una web esté caída no convierte a Amazon en más rentable. **Se bajan:** el tráfico a tu web DTC si tu equipo técnico ha parcheado pero todavía no ha verificado que todo funciona. Reduce presupuesto en lugar de apagar si el parche va a tardar horas. **Se pausan:** cualquier campaña que apunte a una página de la que no puedes garantizar que cargue, o que no sabes si está limpia. Si el parche va a tardar días, pausa. Si no sabes cuánto, pregunta antes de decidir. Si tu tienda va en Shopify, el servidor no es tuyo y no hay PHP que parchear por tu parte. Revisa, eso sí, las apps y las integraciones que cuelgan de otros servidores. ## El riesgo que no sale en ningún informe: tus claves de medición Uno de los dos fallos puede devolver memoria de otras peticiones. [Sansec](https://sansec.io/research/php2shell) advierte de que ahí pueden viajar contraseñas, tokens y claves API. Si usas medición en servidor (conversiones de Meta, importación de conversiones a Google Ads, plugins que guardan tokens de las plataformas), esas claves pueden vivir en el servidor que estuvo expuesto. Tras el parche, rota los tokens de las plataformas publicitarias y revisa el historial de cambios de cada cuenta de Google Ads y Meta en busca de ajustes que nadie haya hecho. Es tarea de diez minutos que casi nadie incluye en su lista. Y esto conecta con algo que ya hemos contado: [recuperar el control del tracking en Google Ads](/recupera-control-google-ads-mejora-tracking-demuestra-roi/) empieza por saber qué mide cada pieza. Un servidor al que han accedido es otra razón para auditarlo. AUDITORÍA GRATUITA **¿Sabes qué campañas dependen de tu web y cuáles no?** Lo revisamos contigo antes de que decidas qué pausar. [Ver paid media →](https://roicos.com/ecommerce/sem-social-media-ads/) auditoría gratuita de tus campañas ## ¿Debo pausar mis campañas de Amazon Ads por PHP2Shell? No. El clic aterriza en Amazon, no en tu servidor. Lo que sí conviene revisar es cualquier campaña que lleve tráfico a tu propia web, a una landing o a una página externa que no controlas. ## ¿Qué reviso antes de reactivar las campañas que pausé? Que la landing cargue rápido desde móvil, que el formulario o el carrito funcionen con una compra de prueba, y que esa compra aparezca en Google Analytics y en cada plataforma publicitaria. Si hay discrepancias, no reactives hasta resolverlas: estarías optimizando con datos rotos. ## ¿Cómo evito que los informes se descuadren por la caída? Anota la ventana de mantenimiento en Google Analytics 4 y en tus informes. Cuando alguien compare octubre con septiembre dentro de seis meses, ese hueco tendrá explicación y no se atribuirá a «algo que hicimos mal con las campañas». ## ¿Quién arregla la parte técnica? Tu hosting o tu equipo de desarrollo. En el mismo grupo que Roicos, [Epinium](https://epinium.com/es/servicios/migracion-ecommerce/) hace parches de versión de PHP y migraciones de tienda y de web, y te dice antes de empezar si de verdad hace falta migrar. ## ¿Merece la pena migrar mi tienda por esto? No hace falta decidirlo esta semana. Parchear es lo urgente. Migrar tiene sentido cuando mantener la web te cuesta más que cambiarla, y esa decisión es mejor tomarla en frío, con las campañas estables, no con la cuenta en pausa. ## Lo que deja esta semana en tu cuenta publicitaria Una web sana es parte de tu estrategia de paid media, no un asunto de otro departamento. La pregunta útil para la próxima vez no es cómo reaccionar a un fallo, sino cuántos minutos tardas en saber qué campaña apunta a qué servidor. Quien lo sabe, decide en una mañana. Quien no, decide con la cuenta ardiendo. ROICOS **Recupera el control de tus datos de pago** Más de 5 años optimizando paid media para ecommerce en España. [Hablar con un especialista →](https://roicos.com/contacto/) auditoría gratuita de tus campañas