Alerta: el 70 por ciento de los sitios web podrían estar en peligro de ataque

La infraestructura que sostiene buena parte de la web enfrenta una alerta de seguridad. El equipo de desarrollo de PHP publicó este 21 de octubre correcciones para dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación: un atacante podría hacer que un servidor vulnerable ejecute instrucciones sin contar previamente con una cuenta autorizada. Ambas recibieron una calificación de gravedad de 9,2 sobre 10.

El caso, conocido como PHP2Shell, fue abordado por The Washington Post en su cobertura sobre los riesgos que enfrenta la infraestructura de internet. Según la investigación publicada por Wiz, las fallas afectan al núcleo de PHP y pueden permitir el acceso a información sensible, la alteración de páginas o el control de servidores afectados.

La preocupación responde al lugar que ocupa esta tecnología. PHP funciona detrás de plataformas como WordPress, Drupal, Joomla y MediaWiki, el software utilizado por Wikipedia. Por eso, una vulnerabilidad en ese componente puede extender sus consecuencias a sitios de empresas, medios de comunicación, organismos públicos y comercios electrónicos. El problema está en la tecnología que ejecuta las aplicaciones, por lo que su alcance trasciende a una página o un complemento específico.

Las primeras repercusiones incluyeron interrupciones preventivas. Reuters informó que organismos europeos retiraron temporalmente servicios de internet mientras avanzaban las tareas de protección. Entre los casos mencionados figuran portales gubernamentales de Finlandia y sitios del Ministerio del Interior francés. Estas desconexiones fueron medidas de precaución y no constituyen, por sí mismas, evidencia de que esas instituciones hayan sufrido un ataque exitoso.

Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.

— NSA Cyber (@NSACyber) October 21, 2026

La inteligencia artificial ocupa un lugar central en el episodio. Wiz explicó que los errores llevaban años presentes en el código, pero demostrar cómo aprovecharlos requería una secuencia de pasos de enorme complejidad. Los modelos avanzados redujeron esa dificultad y ayudaron a convertir un defecto antiguo en una amenaza comprobable. Esa capacidad resulta valiosa para los investigadores, aunque también puede reducir las barreras técnicas para los atacantes.

La respuesta oficial de los desarrolladores fue contundente: actualizar de inmediato. El equipo de PHP advirtió que no existen mitigaciones completas que sustituyan la instalación de las correcciones. El aviso identifica las vulnerabilidades como CVE-2026-109618 y CVE-2026-109619.

Para organizaciones argentinas que utilizan estas tecnologías, la implicancia práctica es revisar con sus responsables técnicos o proveedores de alojamiento si sus servidores están afectados y si recibieron las actualizaciones correspondientes. Esa exposición potencial no permite afirmar que existan incidentes locales confirmados.

El episodio plantea, además, una exigencia de gestión: conocer qué software sostiene cada servicio y quién tiene la responsabilidad de mantenerlo. Cuando la IA acelera el descubrimiento y análisis de vulnerabilidades, la capacidad de una organización para identificar sus sistemas y corregirlos rápidamente adquiere tanta importancia como las herramientas de defensa que tenga contratadas.