Esta semana muchos jugadores se han encontrado con pantallas de mantenimiento inesperadas. En Japón y en el resto del mundo han pasado a la vez por un "parón técnico" Final Fantasy XIV, Umamusume: Pretty Derby, otros títulos de Cygames y varias aplicaciones de The Pokémon Company. El motivo no es un ataque contra un juego en concreto. Es un problema mucho más de fondo: un par de vulnerabilidades graves en PHP, uno de los lenguajes de programación más usados en servidores web. Lo ha contado Eurogamer y lo confirman varios medios especializados en seguridad.

Qué es PHP2Shell y por qué es tan serio

Bajo el nombre de PHP2Shell se agrupan dos fallos, catalogados como CVE-2026-109618 y CVE-2026-109619. Según Malwarebytes, permiten a un atacante ejecutar código malicioso en un servidor afectado sin necesidad de iniciar sesión. En el argot se llama ejecución remota de código y es de lo peor que puede tener un servidor expuesto a internet.

Los propios desarrolladores de PHP le han dado una puntuación de 9,2 sobre 10 en la escala de gravedad CVSS. Algunas firmas de seguridad la han subido hasta el 10. El alcance también impresiona: según KrebsOnSecurity, afecta a todas las versiones desde PHP 5.4, y cerca del 70 % de las webs con tecnología de servidor identificable tendrían que actualizarse.

Varias organizaciones de seguridad localizaron los fallos, y los investigadores destacan que los modelos de IA avanzados han facilitado demostrar errores que llevaban años escondidos en el código. Los investigadores de Wiz los describen como entre las vulnerabilidades más graves descubiertas en PHP.

El 21 de octubre salieron los parches de urgencia para las ramas que siguen recibiendo soporte:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Las versiones 8.1 y anteriores ya no reciben actualizaciones de seguridad habituales. Quien siga en ellas lo tiene más complicado.

Qué juegos se han visto afectados

Los videojuegos con servicios en línea dependen de muchos servidores: inicio de sesión, tiendas, webs de cuenta o sistemas de copia de seguridad. Si alguna de esas piezas usa PHP, toca parchear. Y mientras tanto, lo más prudente es apagar. Según la recopilación de Eurogamer y de otros medios del sector, estos son algunos de los casos más sonados:

• Final Fantasy XIV: Square Enix desactivó temporalmente los servidores de inicio de sesión. El acceso volvió, pero algunas funciones secundarias, como las de copia de seguridad, siguieron sin servicio durante más tiempo.
• Umamusume: Pretty Derby: mantenimiento de emergencia en sus versiones japonesa y global, con moneda del juego como compensación.
• Granblue Fantasy y Princess Connect! Re:Dive: otros dos juegos de Cygames que también pararon por mantenimiento urgente.
• Pokémon Sleep, Pokémon HOME y otras apps de la saga: mantenimientos de emergencia relacionados con el fallo.
• GOG: la tienda y su cliente Galaxy estuvieron un par de horas en mantenimiento.

En la mayoría de los casos el servicio se recuperó en cuestión de horas. Algunos estudios más pequeños han optado por mantener sus servidores apagados varios días como precaución, mientras revisan que todo esté en orden.

¿Corren peligro tus datos?

Por ahora, ninguna de las compañías citadas ha comunicado un robo de datos ligado a este fallo. Los cierres han sido preventivos: es mejor desconectar unas horas que dejar una puerta abierta mientras se instala el parche. Malwarebytes insiste en esa idea. Apagar el servicio es una decisión de protección mientras se actualiza, no una prueba de que haya habido intrusión.

Para el jugador de a pie no hay mucho que hacer. No tienes que instalar nada, porque PHP corre en los servidores de las empresas y no en tu consola ni en tu PC. Aun así, conviene seguir unas normas básicas de higiene digital:

• Desconfía de correos o mensajes que hablen de "compensaciones" o "verificaciones de cuenta" por la caída. Es el anzuelo típico del phishing tras una noticia así.
• Activa la verificación en dos pasos en tus cuentas de juego si aún no la tienes.
• Consulta los avisos de mantenimiento solo en las webs y redes oficiales de cada juego.

Por qué importa

Este episodio deja a la vista algo que solemos olvidar: un juego como servicio no es solo el cliente que descargas, sino una cadena de servidores y tecnologías ajenas al propio estudio. Un fallo en una herramienta tan extendida como PHP puede parar a la vez juegos de compañías muy distintas y en continentes diferentes. Que los cierres hayan sido rápidos y, por lo que se sabe, sin filtraciones es una buena señal de respuesta del sector. También es un recordatorio para los estudios: mantener al día la infraestructura no es lo más vistoso del desarrollo, pero es lo que permite que mañana sigas pudiendo iniciar sesión.