Fallas críticas en PHP (PHP2Shell) ponen en alerta máxima a las empresas chilenas por sistemas desactualizados

La reciente publicación de parches de emergencia para corregir dos vulnerabilidades críticas en PHP ha encendido las alarmas mundiales. PHP es uno de los lenguajes de programación más utilizados en internet y, ante este escenario, organismos de ciberseguridad han recomendado actualizar los sistemas de inmediato. En Chile, especialistas advierten sobre los graves riesgos que enfrentan las organizaciones que operan con plataformas antiguas sin mantenimiento.

¿Qué es la vulnerabilidad PHP2Shell?

El pasado 21 de octubre se revelaron las fallas identificadas como CVE-2026-109618 y CVE-2026-109619, bautizadas en el mundo de la ciberseguridad como “PHP2Shell”.

Estas vulnerabilidades poseen una calificación de gravedad de 9,2 sobre 10 en el sistema internacional CVSS. Su mayor peligro radica en que permiten a un atacante ejecutar código de manera remota (RCE) sin necesidad de autenticación, lo que puede resultar en servidores comprometidos y exposición masiva de información sensible.

Ante la gravedad del asunto, la Agencia Nacional de Ciberseguridad (ANCI) en Chile, junto a otros organismos internacionales, ha instado a la actualización inmediata. A nivel global, algunos gobiernos incluso han suspendido temporalmente servicios digitales como medida preventiva.

El riesgo oculto en las empresas chilenas: Los sistemas heredados

“Es grave, y no por ser alarmistas”, explica Lucas Ovalle, Head of Cybersecurity & IT Support de Apiux. “PHP es el lenguaje que sostiene una parte enorme de internet, desde páginas de gobierno hasta portales de pago. Es como descubrir que la cerradura de un país tiene una falla de fábrica. Al final, no importa qué tan bueno sea el candado que pusiste después, si la cerradura base está rota, cualquiera con la llave correcta entra”.

Según Ovalle, el principal riesgo para las organizaciones chilenas reside en los sistemas antiguos o “heredados” que operan sin supervisión constante. Muchas empresas mantienen integraciones desactualizadas de PHP que pasan inadvertidas durante años. “Si nadie sabe qué versión de PHP corre ahí, nadie sabe si está expuesto”, advierte el ejecutivo.

La Inteligencia Artificial: Un acelerador de ciberataques

De acuerdo con la Fundación PHP, una de estas fallas ya había mostrado indicios en una auditoría de 2024, pero no fue hasta agosto de este año que investigadores de Calif, OpenAI y Wiz comprobaron su gravedad. Para demostrar que estas vulnerabilidades permitían tomar el control remoto de un servidor, los equipos se apoyaron en herramientas de inteligencia artificial (IA).

Este avance tecnológico es un arma de doble filo en la ciberseguridad. Ovalle señala que los ciberdelincuentes también usan la IA para identificar vulnerabilidades y acelerar sus ataques. “La velocidad del ataque ya no se mide en semanas, se mide en horas desde que algo se publica. La defensa tiene que moverse al mismo ritmo”.

Plan de acción: ¿Qué deben hacer las organizaciones hoy?

Según la Fundación PHP, actualizar a una versión corregida es la única solución definitiva frente a PHP2Shell. Sin embargo, no es necesario elegir entre “apagar todo” o quedar expuestos. Los expertos recomiendan a las empresas en Chile seguir estos pasos inmediatos:

1. Auditoría de inventario: Confirmar de inmediato qué sistemas y plataformas de la empresa utilizan PHP.

2. Revisión de versiones: Verificar si los sistemas cuentan con la versión corregida del lenguaje.

3. Mitigación temporal: Si no es posible actualizar en el corto plazo, aplicar las mitigaciones temporales disponibles recomendadas por los fabricantes.

“Nada de esto toma semanas. Toma horas, si uno sabe por dónde empezar”, concluye Ovalle.

Fuente: Today’s PHP Security Release, and How We’re Strengthening PHP Security