(Agencias)
Dos vulnerabilidades críticas en PHP, una de las tecnologías que sostiene millones de páginas web y servicios digitales, encendieron las alertas internacionales de ciberseguridad ante la posibilidad de que atacantes tomen el control de servidores sin necesidad de contraseñas ni autenticación. Los fallos, divulgados el 21 de octubre, llevaron a los responsables del lenguaje a publicar actualizaciones de emergencia y a organismos especializados a pedir la corrección inmediata de los sistemas expuestos.
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas en conjunto como PHP2Shell, podrían permitir la ejecución remota de código malicioso en servidores que utilicen versiones afectadas. Esto significa que un atacante podría ejecutar instrucciones en el sistema sin contar previamente con acceso autorizado.
De acuerdo con las alertas de seguridad, una intrusión exitosa podría facilitar el robo de información, la modificación o eliminación de archivos, la instalación de programas maliciosos y la interrupción de servicios digitales. El alcance dependerá de la configuración del servidor y de los permisos que consiga obtener el atacante.
PHP es un lenguaje de programación utilizado para desarrollar sitios dinámicos, plataformas comerciales, sistemas de administración y aplicaciones conectadas a bases de datos. También está presente en productos y dispositivos que operan en segundo plano, por lo que el riesgo no se limita a las páginas que los usuarios visitan desde sus computadoras o teléfonos.
Si un servidor vulnerable almacena información personal, documentos, credenciales o datos de compras, una intrusión podría comprometer esos recursos. También existe el riesgo de que un sitio legítimo sea manipulado para mostrar páginas falsas de inicio de sesión o distribuir archivos maliciosos.
Esto no significa que todos los usuarios de internet hayan sido afectados ni que todas las páginas desarrolladas con PHP sean vulnerables. El riesgo depende, entre otros factores, de la versión instalada, la exposición del servidor a internet y la aplicación o servicio que lo utiliza.
Actualizaciones de emergencia
El equipo responsable de PHP publicó correcciones para las ramas con soporte mediante las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La recomendación es actualizar de inmediato los sistemas afectados y comprobar que la corrección se haya aplicado correctamente.
La Agencia de Ciberseguridad de la Unión Europea (ENISA), junto con otros organismos europeos, pidió identificar las aplicaciones que utilizan PHP, priorizar los sistemas accesibles desde internet y coordinar las actualizaciones con los proveedores de alojamiento y servicios tecnológicos.
Cuando no sea posible instalar los parches de inmediato, los organismos especializados recomiendan aislar temporalmente los sistemas expuestos de las redes públicas hasta corregir las fallas. Las instalaciones antiguas que ya no reciben soporte requieren atención adicional y una estrategia de migración o actualización.
Aunque la corrección principal corresponde a los administradores de servidores, empresas y proveedores tecnológicos, los usuarios también pueden reducir los riesgos. Es recomendable mantener actualizados los dispositivos y las aplicaciones, activar la autenticación de dos factores cuando esté disponible y utilizar contraseñas únicas para cada servicio.
También conviene revisar la actividad reciente de las cuentas, cerrar sesiones desconocidas y desconfiar de mensajes que aprovechen la noticia para solicitar contraseñas, descargar supuestas herramientas de protección o instalar actualizaciones desde enlaces no verificados.
En el caso de empresas, medios de comunicación, comercios electrónicos y organizaciones públicas, resulta prioritario confirmar con sus proveedores qué versión de PHP utilizan y si los sistemas han recibido las correcciones correspondientes.
La alerta evidencia la importancia de mantener actualizada la infraestructura que sostiene los servicios digitales. Aunque una vulnerabilidad puede permanecer oculta durante años, su divulgación pública aumenta la urgencia de corregirla antes de que sea aprovechada para comprometer información o interrumpir operaciones.
