Cae la web de DEGIRO por PHP2Shell: ¿Cómo acceder a tu cuenta y qué pasa con tu dinero?

DEGIRO ha desconectado su web pública como medida de precaución ante PHP2Shell, dos vulnerabilidades críticas del lenguaje PHP reveladas el pasado 21 de octubre de 2026.

Según el aviso del bróker, los clientes pueden seguir iniciando sesión, operando y abriendo cuentas. La medida afecta a las páginas informativas de la web, no a la seguridad de las cuentas. Hasta donde hemos podido comprobar, no hay constancia pública de ninguna intrusión en DEGIRO.

¿Qué ha hecho DEGIRO exactamente?

DEGIRO es un bróker online que opera en España bajo la marca de flatexDEGIRO Bank Dutch Branch y presta servicio en 15 países europeos.

Tras conocerse los fallos retiró su web pública de información y puso un aviso para los visitantes.

¿Qué vulnerabilidades tiene la web de DEGIRO?

Ahora bien, en el mismo aviso explica que el portal de clientes y las funciones de trading siguen operativos en servidores separados.

Por lo pronto, no hemos encontrado una explicación pública de DEGIRO sobre cuánto durará la medida ni cuándo volverán las páginas informativas.

¿Qué es PHP2Shell?

PHP2Shell es el nombre con el que se conocen dos vulnerabilidades en el núcleo de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619.

PHP es un lenguaje que se ejecuta en el servidor de una web y genera sus páginas antes de enviarlas al navegador. Según W3Techs, lo usa el 69,3% de las webs cuyo lenguaje de servidor se puede identificar.

Ambos fallos tienen una puntuación CVSS de 9,2 sobre 10, es decir, son críticos. Permiten que un atacante sin cuenta ni contraseña ejecute código en un servidor vulnerable mediante peticiones manipuladas.

Como el problema está en el motor de PHP, actualizar plugins o contenidos no lo corrige. Hay que actualizar PHP en el servidor.

¿Por qué se apagan webs en lugar de parchearlas?

Porque los ataques llegaron casi a la vez que los parches. Cloudflare detectó tráfico de ataque contra clientes expuestos y hay informes de explotación real.

Las agencias de ciberseguridad europeas advirtieron de que quien no pudiera aplicar el parche debía desconectar sus webs afectadas. Así lo hicieron organismos públicos de Finlandia, Países Bajos, Bélgica y Francia, algunos por precaución.

Además, parchear exige a veces actualizar versiones antiguas de PHP y comprobar que la web sigue funcionando, así que apagarla es la vía rápida mientras se revisa.

¿Está en riesgo mi dinero en DEGIRO?

Con la información disponible, no.

DEGIRO asegura que el acceso a la cuenta, las operaciones y la apertura de cuentas siguen funcionando, y que la medida no afecta a la seguridad de las cuentas.

Cuidado con los correos de restauración de contraseñas

Apagar una web pública no significa que haya habido un ataque. Lo que sí conviene vigilar es el phishing, porque en episodios como este circulan correos falsos de restablecimiento urgente de contraseña.

Soy cliente: ¿Cómo puedo acceder a mi cuenta?

Lo he comprobado personalmente, puedes acceder a tu cuenta con normalidad, tanto desde la app como desde la web. La desconexión solo afecta a las páginas informativas:

Desde la app móvil: Entra como siempre, sin ningún cambio.
Desde la web: Cuando aparezca el cartel de aviso, pulsa el botón “Iniciar sesión” e identifícate con normalidad.
Para abrir una cuenta nueva: Pulsa el botón de apertura de cuenta y empieza el proceso como de costumbre.

Acceso normal a la cuenta personal de DEGIRO

Lo realmente importante, es que siempre accedas desde la app oficial o escribiendo www.degiro.es en el navegador, nunca desde enlaces recibidos por correo.

¿Qué más puedo hacer como cliente de DEGIRO?

Entra siempre desde la app oficial
Comprueba que los correos acaban en @degiro.es, @degiro.com, @account.degiro.com o @mail.degiro.com.
Activa la verificación en dos pasos si no la tienes, y usa una contraseña única.
Si dudas de un mensaje, no pulses ningún enlace y escribe a accountsecurity@degiro.com.

¿Qué cambia para quien elige bróker?

Una web informativa fuera de servicio no es lo mismo que una plataforma caída, y mezclarlo genera más alarma de la necesaria.

Para mí, lo relevante en estos casos es cómo comunica el bróker. Importa que avise pronto, que separe lo que funciona de lo que no y que use canales oficiales.

Actualizaremos este artículo en cuanto DEGIRO publique más información.

Preguntas frecuentes sobre DEGIRO y PHP2Shell

¿Puedo operar en DEGIRO ahora mismo?

Según el aviso de DEGIRO, sí. Los clientes pueden iniciar sesión, operar y abrir cuentas. Lo que está desconectado es la web pública con las páginas informativas.

¿Han hackeado DEGIRO?

No hay constancia pública de que DEGIRO haya sufrido una intrusión. El bróker desconectó su web pública como medida de precaución ante PHP2Shell.

¿Qué es PHP2Shell?

PHP2Shell son dos vulnerabilidades críticas del núcleo de PHP, CVE-2026-109618 y CVE-2026-109619, con una puntuación CVSS de 9,2. Permiten ejecutar código en un servidor sin necesidad de contraseña. PHP publicó los parches el 21 de octubre de 2026.

¿Cuándo volverá la web pública de DEGIRO?

DEGIRO no ha comunicado una fecha que hayamos podido encontrar. Hasta entonces, los clientes pueden operar desde el portal de clientes y la app.

¿Cómo sé que estoy en la web oficial de DEGIRO?

La dirección oficial para España es www.degiro.es, con el nombre completo y sin variaciones en el dominio. DEGIRO no pide la contraseña por correo, llamada ni mensaje.