Una falla en PHP pone en alerta a sitios web: ¿qué significa y cómo puede afectar a Costa Rica?
Dos vulnerabilidades críticas en PHP, lenguaje utilizado un 70% de los sitios web del mundo, pueden permitir el acceso remoto a servidores. Acá le contamos de qué se trata
El sistema de vulnerabilidad puede intentar utilizar información que no quedó correctamente preparada o que ya había sido liberada. Shutterstock
Imagine que Internet es una ciudad y que PHP es parte de la infraestructura que permite funcionar a sus edificios: tiendas, oficinas y servicios públicos. Si se descubre una falla en esa estructura, no significa que todos los edificios estén comprometidos, pero sí que muchos deben revisar sus sistemas de seguridad.
Eso ocurre con PHP2Shell, el nombre con que se conocen dos vulnerabilidades críticas divulgadas el 21 de octubre de 2026. El problema afecta a PHP, un lenguaje de programación utilizado por cerca del 70% de los sitios web del mundo, según la empresa de ciberseguridad Wiz Research.
La alerta también llegó a Costa Rica: el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) emitió un aviso técnico el 20 de octubre para advertir sobre los riesgos y las medidas de prevención. ¿Qué significa todo esto?
¿Qué es PHP y por qué importa?
La IA puede acelerar la búsqueda de errores para corregirlos, pero también facilitar que otras personas encuentren formas de explotarlos. (KIRILL KUDRYAVTSEV/AFP)
En concreto, PHP es un lenguaje que funciona principalmente en los servidores donde están alojadas las páginas web. Permite, por ejemplo, consultar bases de datos, gestionar sesiones y mostrar contenido personalizado.
Esto se utiliza en plataformas como WordPress, Drupal y Joomla, por lo que una falla en el propio PHP puede afectar a sitios distintos, aunque hayan sido creados con aplicaciones diferentes.
Las vulnerabilidades a las que llaman CVE-2026-109618 y CVE-2026-109619, podrían permitir que un atacante envíe solicitudes especialmente diseñadas para ejecutar código en un servidor sin iniciar sesión. Esto es alarmante porque podría facilitar el acceso a información sensible, la alteración de páginas o la interrupción de servicios.
El porcentaje de sitios que utiliza PHP no equivale, sin embargo, al porcentaje de páginas vulnerables o atacadas. El riesgo dependería de la versión instalada, la configuración y las medidas de protección aplicadas.
Wiz Research informó que utilizó modelos avanzados de inteligencia artificial para identificar fallos en el código de PHP y demostrar cómo podían aprovecharse. Los problemas están relacionados con la gestión de la memoria del programa cuando una solicitud provoca un error.
En términos sencillos, el sistema puede intentar utilizar información que no quedó correctamente preparada o que ya había sido liberada. En determinadas condiciones, esa situación puede abrir una puerta para ejecutar instrucciones ajenas.
O sea que la IA puede acelerar la búsqueda de errores para corregirlos, pero también facilitar que otras personas encuentren formas de explotarlos.
Amazon Web Services informó el 21 de octubre que detectó un intento de explotación ocurrido el 17 de octubre, antes de la divulgación pública de las vulnerabilidades. La actividad apareció en MadPot, una red de sistemas señuelo utilizada para observar ataques informáticos.
La empresa también identificó nuevos intentos después de que se publicaran los detalles técnicos. Esto no demuestra que todos los sistemas vulnerables hayan sido comprometidos, pero sí evidencia la rapidez con que pueden aparecer intentos de explotación.
¿Qué pasa con PHP en Costa Rica?
Costa Rica también tomó medidas preventivas ante las vulnerabilidades PHP2Shell. El Micitt emitió una alerta técnica el 20 de octubre y pidió a las instituciones públicas, proveedores de servicios y responsables de tecnologías de información revisar sus sistemas y prepararse para aplicar las actualizaciones de seguridad.
De hecho la Dirección de Ciberseguridad del Micitt explicó que la advertencia busca proteger la infraestructura tecnológica nacional y garantizar la continuidad de los servicios digitales del Estado.
La alerta, sin embargo, no significa que se hayan confirmado ataques contra instituciones costarricenses. El riesgo depende de las versiones de PHP instaladas y de las condiciones de cada servidor. Por eso, cada institución y empresa debe comprobar si utilizan versiones afectadas, instalar las correcciones disponibles y revisar los registros de actividad para identificar posibles accesos sospechosos.
Para los usuarios, la existencia de esta vulnerabilidad tampoco significa que sus computadoras o teléfonos estén infectados. En palabras sencillas, la principal responsabilidad recae en quienes administran los servidores y los servicios digitales.
