Numerosos países incluyendo el Perú alertaron sobre las vulnerabilidades detectadas en uno de los lenguajes de programación más utilizados en el mundo (el PHP). Al respecto, expertos en tecnología advirtieron de la multiplicación de los riesgos, y también de las posibilidades de frenarlos, gracias a la inteligencia artificial.
Los equipos de seguridad digital del Perú, Estados Unidos, Países Bajos, Alemania, Reino Unido, Japón o España, emitieron ayer una alerta a todas las organizaciones que utilizan el lenguaje de programación PHP -uno de los más extendidos en páginas web y aplicaciones en internet- e hicieron llamamientos urgentes para que instalaran una actualización que corrige las vulnerabilidades 'críticas' que se habían detectado.
El '
PHP' es un lenguaje de programación que se utiliza principalmente para crear páginas web dinámicas y aplicaciones que funcionan en internet, en las que esos sitios no se limitan a mostrar información estática, sino que pueden responder e interactuar con el usuario.
Ante las alertas lanzadas, numerosos servicios, páginas web, medios de comunicación y hospitales de algunos países decidieron 'desconectarse' como medida preventiva, informó EFE.
Esas vulnerabilidades que se detectaron fueron clasificadas con una puntuación de severidad 'crítica', de 9,2 en una escala que abarca del 0 al 10, informó el Instituto Nacional de Ciberseguridad (Incibe), dependiente del Ministerio para la Transformación Digital y de la Función Pública en España.
En el Perú, el Centro Nacional de Seguridad Digital, en su
informe del 21 de octubre, señala que "se ha identificado una amenaza crítica denominada PHP2Shell, asociada a dos vulnerabilidades de seguridad en PHP, cuyos detalles técnicos se filtraron en Internet antes de la divulgación coordinada y de la publicación oficial de los parches". La vulnerabilidad fue reportada por el equipo de PHP el 20 de octubre.
Según el reporte: "Las vulnerabilidades PHP2Shell podrían permitir que un atacante remoto ejecute código arbitrario en servidoresque utilicen versiones vulnerables de PHP, lo que potencialmente facilitaría el acceso no autorizado, la ejecuciónde comandos y el compromiso de los sistemas afectados. La información pública disponible no precisa la causaraíz de ambas vulnerabilidades, los componentes específicos afectados ni la ruta exacta de explotación. Noobstante, un informe preliminar señala que la CVE-2026-109618 podría estar relacionada con un error de tipo useafter-free, que ocurre cuando un programa continúa utilizando una región de memoria después de que esta ha sidoliberada".
El 21 de octubre de 2026, el equipo de PHP publicó las actualizaciones de seguridad que corrigen ambas vulnerabilidades. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas PHP 8.1 y anteriores también se consideran afectadas, pero ya no reciben mantenimiento de seguridad del proyecto principal. Además, se reportaron intentos de explotación y la publicación de información técnica y pruebas de concepto incrementó el riesgo de ataques masivos, continúa el reporte.
¿Cómo evitar riesgos con PHP?
Entre las soluciones a este grave problema que afecta a uno de los lenguajes de programación más utilizados del mundo, los institutos y agencias de seguridad de numerosos países apuntaron la de aplicar las versiones corregidas.
En caso de no poder actualizar de forma inmediata las versiones de ese lenguaje afectadas por esos fallos, las agencias han recomendado medidas temporales para reducir la exposición a esas vulnerabilidades, y entre ellas la de aislar de las redes públicas los servicios y desconectar temporalmente los sistemas si no es posible actualizarlos de inmediato.
Desde Lightwell -una iniciativa conjunta de la multinacional IBM y Red Hat para identificar y corregir vulnerabilidades en programas de código abierto- han analizado las alertas que se han sucedido en torno a los fallos de 'PHP', una de las tecnologías base sobre las que funciona la gran mayoría de páginas web y servicios 'online' en el mundo. Esta plataforma ha señalado que esas vulnerabilidades permiten la ejecución remota de códigos, lo que posibilitaría que un atacante pudiera ejecutar códigos maliciosos sin necesidad de iniciar sesión en el sistema afectado, y ha explicado que el código que hasta ahora "simplemente funcionaba" se encuentra en riesgo debido a la velocidad y al volumen de nuevas vulnerabilidades descubiertas mediante la detección impulsada por la inteligencia artificial.
"La situación a la que se enfrenta PHP es un recordatorio de lo profundamente arraigado que está el código abierto en los sistemas que sostienen la actividad empresarial global", ha señalado en una nota el vicepresidente de esta plataforma, Gunnar Hellekson, y ha advertido de que el efecto dominó derivado de las vulnerabilidades en un software fundacional como el de PHP puede extenderse a industrias enteras.
Por su parte, Sergey Lozhkin, responsable de uno de los centros de investigación de la empresa de ciberseguridad Kaspersky, ha apuntado que el problema detectado podría convertirse "en una de las vulnerabilidades más importantes de 2026", y ha advertido de su impacto potencial ya que el fallo podría permitir la ejecución remota de un código, lo cual es una de las formas más graves de compromiso de un sistema.
En la práctica, los atacantes podrían ejecutar un código malicioso en los sistemas afectados, incluida la instalación de programas maliciosos ('web shells'), lo que les permitiría obtener el control de los servidores vulnerables, ha explicado este experto, que ha abogado en una nota remitida a EFE por una respuesta "inmediata y contundente".
Gabriela Zornoza, de la empresa de ciberseguridad Check Point Software, ha observado a EFE que la vulnerabilidad puede afectar a la mayoría de las páginas web del mundo y es una "puerta abierta" para realizar cualquier acción maliciosa, incluso la de planear un ataque ahora para se ejecute en el futuro.
La experta de esta empresa ha subrayado por ello la importancia de contar con sistemas adecuados de protección, y de la disponibilidad ya de algunos productos basados en inteligencia artificial que han sido entrenados específicamente para detectar este tipo de vulnerabilidades y frenar cualquier ataque.
Agencia Efe: todos los derechos son reservados. Está prohibido todo tipo de reproducción sin la autorización previa y por escrito de la Agencia Efe.
Más en Andina:(FIN) EFE/SPV
Publicado: 22/10/2026