El pasado 21 de octubre se publicaron parches de emergencia para corregir dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de sitios web. Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas como “PHP2Shell”, tienen una calificación de gravedad de 9,2 sobre 10, según el sistema internacional CVSS.
Su explotación podría permitir que un atacante ejecute código de manera remota sin necesidad de autenticación, comprometiendo servidores y exponiendo información sensible. Ante esta situación, organismos de ciberseguridad de distintos países, entre ellos la Agencia Nacional de Ciberseguridad (ANCI) en Chile, recomendaron actualizar de inmediato, mientras algunos gobiernos suspendieron temporalmente servicios digitales como medida preventiva.
“Es grave, y no por ser alarmistas. PHP es el lenguaje que sostiene una parte enorme de internet, desde páginas de gobierno hasta portales de pago. Es como descubrir que la cerradura de un país tiene una falla de fábrica. Al final, no importa qué tan bueno sea el candado que pusiste después, si la cerradura base está rota, cualquiera con la llave correcta entra”, explica Lucas Ovalle, Head of Cybersecurity & IT Support de Apiux.
Según el ejecutivo, uno de los principales riesgos para las organizaciones chilenas se encuentra en los sistemas antiguos que funcionan sin una supervisión permanente, donde pueden existir versiones desactualizadas de PHP que pasan inadvertidas durante años. “Hablamos de plataformas heredadas, integraciones que ‘siempre han funcionado así’. Si nadie sabe qué versión de PHP corre ahí, nadie sabe si está expuesto”, advierte.
Qué deben hacer las organizaciones
De acuerdo con la Fundación PHP, actualizar a una versión corregida es la única solución completa frente a estas vulnerabilidades. En este escenario, Ovalle sostiene que una organización preparada no debería verse obligada a elegir entre “apagar todo” y “quedar expuesta”, ya que, al mantener actualizado su inventario de sistemas, sabe dónde utiliza PHP y puede aplicar mitigaciones temporales mientras actualiza.
Por eso, recomienda que las organizaciones confirmen qué sistemas usan este lenguaje, revisen si cuentan con una versión corregida y, si no pueden actualizar de inmediato, apliquen las mitigaciones temporales disponibles. “Nada de esto toma semanas. Toma horas, si uno sabe por dónde empezar”, afirma.
La inteligencia artificial acelera los tiempos de ataque
Según la Fundación PHP, una de las fallas ya había mostrado señales en una auditoría de 2024, pero en ese momento no se logró comprobar su gravedad. Fue en agosto de este año cuando investigadores de Calif, OpenAI y Wiz, que trabajaron por separado, demostraron que las vulnerabilidades permitían tomar el control remoto de un servidor. Para hacerlo, estos equipos se apoyaron en herramientas de inteligencia artificial.
Para Ovalle, el avance de estas tecnologías también supone nuevos riesgos, ya que las herramientas que permiten detectar vulnerabilidades pueden ser utilizadas por ciberdelincuentes para identificar fallas y acelerar sus ataques. “La velocidad del ataque ya no se mide en semanas, se mide en horas desde que algo se publica. La defensa tiene que moverse al mismo ritmo”, advierte.
Preguntas frecuentes
- ¿Qué son las vulnerabilidades PHP2Shell? PHP2Shell es el nombre asociado a dos vulnerabilidades críticas de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Su explotación podría permitir la ejecución remota de código sin autenticación, comprometiendo servidores y exponiendo información sensible.
- ¿Cómo pueden protegerse las organizaciones frente a PHP2Shell? La principal medida es actualizar PHP a una versión que incluya las correcciones de seguridad. También se recomienda identificar todos los sistemas que utilizan este lenguaje, revisar las versiones instaladas y aplicar mitigaciones temporales cuando la actualización inmediata no sea posible.
- ¿Qué papel cumple la inteligencia artificial en estas vulnerabilidades? La inteligencia artificial puede ayudar a los investigadores a detectar y analizar fallas de seguridad, pero también puede ser aprovechada por atacantes para identificar vulnerabilidades y acelerar la preparación de ataques. Esto obliga a las organizaciones a fortalecer sus procesos de monitoreo y respuesta.
