El pasado 21 de octubre se publicaron parches de emergencia para corregir dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de sitios web. Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas como «PHP2Shell», tienen una calificación de gravedad de 9,2 sobre 10 según el sistema internacional CVSS: su explotación podría permitir que un atacante ejecute código de manera remota sin necesidad de autenticación, comprometiendo servidores y exponiendo información sensible.
Ante esta situación, organismos de ciberseguridad de distintos países recomendaron actualizar de inmediato, y en Chile la Agencia Nacional de Ciberseguridad (ANCI) hizo lo propio. Algunos gobiernos incluso suspendieron temporalmente servicios digitales como medida preventiva.
PHP2Shell: Por qué esta falla es distinta
«PHP2Shell, Es grave, y no por ser alarmistas. PHP es el lenguaje que sostiene una parte enorme de internet, desde páginas de gobierno hasta portales de pago. Es como descubrir que la cerradura de un país tiene una falla de fábrica. Al final, no importa qué tan bueno sea el candado que pusiste después, si la cerradura base está rota, cualquiera con la llave correcta entra», explica Lucas Ovalle, Head of Cybersecurity & IT Support de Apiux.
El contexto local agrava el cuadro. Según Ovalle, uno de los principales riesgos para las organizaciones chilenas está en los sistemas antiguos que funcionan sin supervisión permanente, donde pueden existir versiones desactualizadas de PHP que pasan inadvertidas durante años.
«Hablamos de plataformas heredadas, integraciones que ‘siempre han funcionado así’. Si nadie sabe qué versión de PHP corre ahí, nadie sabe si está expuesto», advierte.
Qué deben hacer las organizaciones ahora con PHP2Shell
De acuerdo con la Fundación PHP, actualizar a una versión corregida es la única solución completa frente a estas vulnerabilidades. Pero Ovalle insiste en que una organización preparada no debería verse obligada a elegir entre «apagar todo» y «quedar expuesta»: al mantener actualizado su inventario de sistemas, sabe dónde utiliza PHP y puede aplicar mitigaciones temporales mientras actualiza.
El checklist recomendado es simple en materia de fallas PHP2Shell:
1. Confirmar qué sistemas y sitios usan PHP, incluyendo los heredados.
2. Revisar si cuentan con una versión corregida del lenguaje.
3. Si no pueden actualizar de inmediato, aplicar las mitigaciones temporales disponibles.
4. Documentar el inventario para que la próxima vulnerabilidad no los encuentre a oscuras.
«Nada de esto toma semanas. Toma horas, si uno sabe por dónde empezar», afirma.
La IA acorta los tiempos del ataque, incluyendo a PHP2Shell
Un detalle inquietante de esta historia: según la Fundación PHP, una de las fallas ya había mostrado señales en una auditoría de 2024, pero en ese momento no se logró comprobar su gravedad.
Fue en agosto de este año cuando investigadores de Calif, OpenAI y Wiz, que trabajaron por separado, demostraron que las vulnerabilidades permitían tomar el control remoto de un servidor, apoyándose en herramientas de inteligencia artificial.
Para Ovalle, esa es la doble cara de la tecnología: las mismas herramientas que permiten detectar vulnerabilidades pueden ser utilizadas por ciberdelincuentes para identificar fallas y acelerar sus ataques.
«La velocidad del ataque ya no se mide en semanas, se mide en horas desde que algo se publica. La defensa tiene que moverse al mismo ritmo», advierte.
La advertencia llega a un momento especialmente sensible para la web chilena:WordPress, el gestor que sostiene a millones de sitios en el mundo incluida gran parte de la internet chilena, corre sobre PHP.
La lección no es parchar y olvidar, es que la seguridad se construye sabiendo qué tienes instalado y quién lo vigila. Si tu sitio lleva años sin actualizarse, esta semana es el momento de preguntar qué versión de PHP corre debajo.
Puedes revisar más información relativa a noticias de tecnología | Instagram | YouTube | Anuncios y Publicidad (50% OFF) | El Café Tech se escucha también por Spotify | Patrocina el Café Tech con un precio único aquí
