Agencias de ciberseguridad de varios países recomendaron actualizar los sistemas cuanto antes, luego de que se difundieran parches de emergencia para subsanar dos vulnerabilidades críticas detectadas en PHP. En Chile, un especialista advierte sobre el peligro que representan las plataformas antiguas que operan sin revisiones ni mantenimiento periódico.
Los parches se publicaron el 21 de octubre y apuntan a dos fallas de gravedad crítica en PHP, uno de los lenguajes de programación más empleados para el funcionamiento de sitios web. Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619 y bautizadas como «PHP2Shell», recibieron una calificación de gravedad de 9,2 sobre 10 en el sistema internacional CVSS. De ser explotadas, permitirían que un atacante ejecute código de forma remota sin necesidad de autenticación, comprometiendo servidores y exponiendo información sensible. Ante este escenario, organismos de ciberseguridad de distintos países, entre ellos la Agencia Nacional de Ciberseguridad (ANCI) en Chile, recomendaron actualizar de inmediato, mientras algunos gobiernos suspendieron temporalmente sus servicios digitales como medida preventiva.
Lucas Ovalle, Head of Cybersecurity & IT Support de Apiux, explica la magnitud del problema: «Es grave, y no por ser alarmistas. PHP es el lenguaje que sostiene una parte enorme de internet, desde páginas de gobierno hasta portales de pago. Es como descubrir que la cerradura de un país tiene una falla de fábrica. Al final, no importa qué tan bueno sea el candado que pusiste después, si la cerradura base está rota, cualquiera con la llave correcta entra».
Según el ejecutivo, uno de los mayores riesgos para las organizaciones chilenas radica en los sistemas antiguos que funcionan sin supervisión permanente, donde pueden existir versiones desactualizadas de PHP que pasan inadvertidas durante años. «Hablamos de plataformas heredadas, integraciones que ‘siempre han funcionado así’. Si nadie sabe qué versión de PHP corre ahí, nadie sabe si está expuesto», advierte.
Las medidas que deben tomar las organizaciones
De acuerdo con la Fundación PHP, actualizar a una versión corregida es la única solución completa frente a estas vulnerabilidades. En ese contexto, Ovalle sostiene que una organización preparada no debería verse obligada a elegir entre «apagar todo» y «quedar expuesta», ya que, al mantener al día su inventario de sistemas, sabe dónde utiliza PHP y puede aplicar mitigaciones temporales mientras completa la actualización.
Por ello, el especialista recomienda que las organizaciones verifiquen qué sistemas emplean este lenguaje, comprueben si cuentan con una versión corregida y, si no pueden actualizar de inmediato, apliquen las mitigaciones temporales disponibles. «Nada de esto toma semanas. Toma horas, si uno sabe por dónde empezar», afirma.
La inteligencia artificial acorta los plazos de ataque
Según la Fundación PHP, una de las fallas ya había mostrado señales durante una auditoría realizada en 2024, aunque en esa ocasión no fue posible comprobar su gravedad. Fue en agosto de este año cuando investigadores de Calif, OpenAI y Wiz, que trabajaron de manera independiente, demostraron que las vulnerabilidades permitían tomar el control remoto de un servidor. Para lograrlo, estos equipos se apoyaron en herramientas de inteligencia artificial.
Para Ovalle, el avance de estas tecnologías también conlleva nuevos riesgos, dado que las herramientas que permiten detectar vulnerabilidades pueden ser utilizadas por ciberdelincuentes para identificar fallas y acelerar sus ataques. «La velocidad del ataque ya no se mide en semanas, se mide en horas desde que algo se publica. La defensa tiene que moverse al mismo ritmo», advierte.
Con Información de revistaseguridad.cl
