Investigadores han identificado dos fallas críticas en PHP que permiten accesos no autorizados a información sensible, lo que ha generado una alerta internacional tras millones de intentos de ataques informáticos. Este problema, conocido como PHP2Shell, afecta a aproximadamente el 70% de los sitios web del mundo y permite a delincuentes acceder a servidores vulnerables sin conocer sus contraseñas. La empresa Cloudflare reportó un aumento acelerado de los ataques desde que las vulnerabilidades fueron divulgadas el 21 de octubre de 2026.

Las vulnerabilidades, denominadas CVE-2026-109618 y CVE-2026-109619, están relacionadas con errores en el manejo de la memoria de los servidores. En ciertas condiciones, un atacante puede aprovechar estos errores para ejecutar instrucciones sin autorización o acceder a información que debería estar protegida. La empresa de ciberseguridad Wiz confirmó que estas fallas pueden ser explotadas en servidores que utilizan plataformas como WordPress, Drupal y Joomla.

Ambas vulnerabilidades recibieron una calificación de gravedad de 9.2 sobre 10, considerada crítica. Aunque existe un riesgo, este depende de que un delincuente logre explotar la vulnerabilidad en un servidor que procese información personal. Los investigadores han demostrado que ciertas técnicas permiten acceder a fragmentos de memoria donde pueden encontrarse contraseñas y otros datos confidenciales.

Un atacante que controle un servidor también podría intentar acceder a bases de datos, modificar información o instalar programas maliciosos. Sin embargo, esto no implica que todas las contraseñas de los usuarios de internet estén expuestas, ya que el riesgo varía según el servicio utilizado y las medidas de seguridad implementadas. Las páginas que ya cuentan con versiones corregidas de PHP no deberían estar expuestas a estas vulnerabilidades.

Las plataformas bancarias que utilizan versiones vulnerables de PHP podrían estar en riesgo, pero no hay evidencia de que todas las cuentas bancarias estén comprometidas. En Japón, entidades financieras como Mitsubishi UFJ y Nomura suspendieron temporalmente algunos servicios digitales como medida preventiva, aunque esto no significa necesariamente que hayan sido atacadas.

La vulnerabilidad afecta principalmente a servidores que utilizan PHP para procesar solicitudes de los usuarios, y no implica un ataque directo a dispositivos personales. El riesgo se presenta cuando información personal es almacenada o procesada por un servicio web vulnerable y un delincuente accede a sus sistemas. Cloudflare detectó miles de intentos de explotación durante las diez horas previas a la divulgación pública de las fallas.

La empresa OpenAI confirmó que la firma de seguridad Calif identificó una de las vulnerabilidades utilizando un modelo de inteligencia artificial. Esto permitió acelerar el análisis de código y detectar condiciones de seguridad no resueltas durante años. Posteriormente, investigadores y desarrolladores de PHP trabajaron juntos para elaborar y distribuir las correcciones necesarias.

Las interrupciones en los servicios son principalmente medidas preventivas. Empresas y organismos públicos de Japón, Francia y Finlandia han suspendido temporalmente ciertos servicios mientras revisan sus sistemas. Las entidades afectadas incluyen la aerolínea japonesa ANA y la empresa francesa Orange.

Los especialistas recomiendan mantener medidas básicas de protección, como utilizar contraseñas diferentes para cada cuenta y activar la autenticación de dos factores. También es aconsejable cambiar las claves si una empresa informa de una filtración y prestar atención a mensajes sospechosos que soliciten información personal.

Los desarrolladores de PHP publicaron el 21 de octubre versiones corregidas que abordan las vulnerabilidades. La responsabilidad de aplicar estas correcciones recae en administradores de servidores y proveedores de alojamiento web. La rapidez en la actualización de los sistemas será crucial para reducir el impacto de PHP2Shell sobre los usuarios de internet.