---
canonical_url: "https://techinfo.com.ar/contenido/1413/vulnerabilidades-en-php-ponen-en-riesgo-la-seguridad-de-la-web"
title: "Vulnerabilidades en PHP ponen en riesgo la seguridad de la web"
article_type: "Article"
description: "Esta semana, dos vulnerabilidades críticas en PHP, una tecnología de código abierto utilizada en millones de sitios web, casi provocan una crisis en internet. Los investigadores alertan sobre la necesidad urgente de parches para proteger los sistemas afectados."
main_image: "https://techinfo.com.ar/download/multimedia.normal.a18ec4fe0a2b9e87.bm9ybWFsLmpwZw%3D%3D.jpg"
date_published: "2026-10-25T21:16:00-03:00"
date_modified: "2026-10-25T21:16:37-03:00"
author_name: "Techinfo"
author_url: "https://techinfo.com.ar/usuario/2/techinfo"
category_name: "Actualidad"
category_url: "https://techinfo.com.ar/categoria/2/actualidad"
---

# Vulnerabilidades en PHP ponen en riesgo la seguridad de la web

![](https://techcrunch.com/wp-content/uploads/2026/10/php-web-bug-padlock-2300746159.jpg?resize=1200,800)

El miércoles, una tecnología de código abierto que lleva décadas en uso, conocida como PHP, estuvo a punto de causar un colapso en internet debido a dos vulnerabilidades que habían permanecido inactivas durante años hasta que investigadores encontraron una forma de explotarlas. Estas fallas, denominadas PHP2Shell y oficialmente identificadas como CVE-2026-109618 y CVE-2026-109619, permiten a cualquier persona que sepa cómo aprovecharlas ingresar a un sistema en línea que ejecute PHP, como un sitio web o un servidor expuesto a internet, sin necesidad de una contraseña para acceder o modificar sus datos.

La gravedad de la situación obligó a millones de personas en todo el mundo a apresurarse para corregir sus sistemas antes de que hackers malintencionados pudieran aprovecharse de las vulnerabilidades. La Fundación PHP, que se encarga del mantenimiento del software web PHP, lanzó públicamente parches el miércoles que solucionan los problemas, los cuales, una vez instalados, impiden que los servidores expuestos a la web sean atacados. Además, la fundación ya había proporcionado a algunas de las principales empresas de internet y proveedores de alojamiento web que dependen de PHP un adelanto en la implementación de estas correcciones.

Gracias a semanas de conversaciones y coordinación cuidadosa en la industria, el mundo, hasta ahora, ha logrado evitar una explotación masiva en internet. Desde el miércoles, varios gobiernos comenzaron a instar a los ciudadanos y empresas con sitios web a tomar medidas para mitigar los riesgos en sus plataformas. Diversas industrias decidieron cerrar sus sitios web y retirar servicios de línea para aplicar los parches necesarios. Bancos, minoristas, sitios de juegos, tiendas en línea, hospitales y algunas agencias gubernamentales desconectaron sus servidores para prevenir ataques.

Sin embargo, los investigadores de seguridad advierten que la situación aún no ha terminado y que un gran número de sistemas en todo el mundo siguen sin parchar y son vulnerables a hackeos y robos de datos. Además, es poco probable que este sea el último susto importante en el software de internet, ya que algunos expertos anticipan que la llegada de la inteligencia artificial podría descubrir rápidamente vulnerabilidades aún no detectadas que están esperando ser encontradas y explotadas.

Los investigadores de seguridad en California identificaron dos errores en PHP, un lenguaje de programación ampliamente utilizado en todo el mundo para construir sitios web y aplicaciones web, tanto en internet como en redes locales de empresas, como intranets y sitios internos. PHP es de código abierto, lo que significa que es gratuito y está disponible para ser utilizado por cualquier persona por casi cualquier motivo. Por esta razón, se ha convertido en uno de los lenguajes de programación web más populares y utilizados en la actualidad.

Los dos errores fueron descubiertos por primera vez en 2024, pero en ese momento no se consideraron explotables y no se aplicaron parches. Recientemente, investigadores de seguridad encontraron una forma de aprovecharlos, lo que los llevó a alertar a los creadores del software para que los solucionaran. Calif notificó a la Fundación PHP, que inició un proceso para corregir los errores y coordinó la divulgación de la información. La fundación lo hizo ofreciendo la información y los parches sobre los problemas de seguridad bajo un embargo estrictamente controlado, manteniéndolos confidenciales hasta una fecha específica, para dar a las grandes empresas la oportunidad de adelantarse a la instalación de las soluciones.

¿Por qué son tan graves estos errores? PHP2Shell es particularmente serio porque puede ser abusado de forma remota a través de internet, sin que la víctima tenga que hacer clic en un enlace o abrir un archivo. Esto se conoce como ejecución remota de código, y es uno de los tipos de errores más dañinos de explotar, ya que pueden otorgar a un hacker en cualquier parte del mundo el control total sobre un sistema afectado y sin parches. Peor aún, estos errores específicos de PHP permiten acceder a cualquier sistema no parcheado en internet sin necesidad de una contraseña u otra credencial, lo que se conoce como acceso no autenticado. Esto permitiría a un hacker malicioso plantar malware en la computadora, ya sea para robar datos o simplemente para mantener un acceso a largo plazo que pueda utilizar más tarde.

¿Por qué el 70% de la web se vio afectado? Los errores son especialmente riesgosos porque PHP es un software extremadamente popular, en parte porque es gratuito y relativamente fácil de usar, pero también porque ha existido durante décadas. Aproximadamente el 70% de la internet que está expuesta al público depende de PHP, aunque su uso ha ido disminuyendo lentamente a lo largo de los años en favor de lenguajes de programación más nuevos y seguros. Dada su popularidad, algunos de los sitios web más conocidos del mundo funcionan con software web que depende de PHP, como WordPress (que alberga a TechCrunch), así como Drupal, Joomla y MediaWiki, que impulsa al gigante de la enciclopedia en línea, Wikipedia.

PHP es solo una de las muchas tecnologías envejecidas pero funcionales que han sobrevivido a las olas de la internet y a generaciones, y que ahora son tan omnipresentes que se asemejan al pegamento que mantiene unida gran parte de la red. A menudo, estas herramientas son desarrolladas por mantenedores de código abierto, quienes no reciben compensación por su trabajo y, por lo tanto, no pueden costear revisiones de seguridad de terceros, pero que son ampliamente utilizadas por empresas que no contribuyen financieramente a los proyectos.

Los investigadores de seguridad de Calif fueron reconocidos por descubrir los errores a principios de este año como parte de una auditoría de seguridad del código de PHP. Calif participaba en la iniciativa Hack the Planet, organizada por el creador de modelos de inteligencia artificial OpenAI y el gigante de la seguridad en la nube Wiz, que posteriormente verificó las pruebas de concepto de explotación que realizó Calif. En el informe de Calif (que incluye cómics — es excelente, no te lo pierdas), los investigadores explicaron que se utilizó inteligencia artificial para ayudar en la explotación del error, pero que la mayor parte del trabajo se basó en el conocimiento que ya tenían, así como en su familiaridad con la base de código de PHP y su historia de explotación. "Ningún modelo es capaz de descubrir 'todos los errores' con simples indicaciones. Al menos por ahora", escribió Calif.

A pesar de los esfuerzos por mantener los detalles de los errores en secreto hasta el miércoles, parece que hubo alguna explotación de PHP2Shell antes de la publicación de los parches. Amazon, que tiene una enorme visibilidad sobre las amenazas en línea debido a su tamaño y escala, afirmó en una publicación de blog que detectó la explotación de PHP2Shell aproximadamente una semana antes de que los parches de PHP estuvieran disponibles, lo que sugiere que alguien, en algún lugar, sabía cómo explotar los errores antes de que sus detalles estuvieran ampliamente disponibles. Amazon indicó que no estaba claro cómo el hacker se enteró de las vulnerabilidades, pero que los defensores deberían buscar evidencia de explotación tan pronto como el 17 de octubre.

Existen algunas teorías sobre lo que ocurrió. Una vez que un error es corregido, los detalles del parche pueden volverse inmediatamente evidentes, especialmente si el código —como en el caso de PHP— es de código abierto, lo que lo hace público e inspeccionable. Explotar los errores puede no ser fácil, pero conocer dónde se encuentra el error y cómo fue corregido puede permitir a los hackers maliciosos entender dónde apuntar y cómo desarrollar sus explotaciones.

Es posible que haya habido una filtración o un fallo en la comunicación en algún momento durante el embargo. La comunidad de código abierto es enorme y controlar la información de esta manera depende de la buena fe de sus miembros. También es posible que los hackers hayan descubierto los errores antes de tiempo, ya sea de manera independiente o a través de espionaje.

La Fundación PHP culpó a una empresa por haber publicado los parches horas antes de que finalizara el período de embargo, lo que podría haber dado a algunos atacantes una ventaja si obtuvieron detalles del parche antes que otros. Sin embargo, esto no explica la actividad detectada durante una semana por Amazon. Los investigadores señalan que los errores requieren mucho trabajo para ser explotables y que convertir el error en una herramienta de ataque ha sido un desafío, aunque no imposible, lo que explica por qué aún no hemos visto una explotación masiva.

Sin embargo, a finales del viernes, se confirmaron compromisos y actividades posteriores a la explotación relacionadas con el error de PHP, según los gigantes de la seguridad Palo Alto Networks y Trail of Bits. Esto significa que se detectó el abuso del error para hackear y realizar actividades maliciosas en un objetivo aún desconocido. Grandes partes de Internet se apagaron, pero están volviendo. ¿Hemos esquivado lo peor?

Aún es temprano, pero es un signo alentador que no haya habido indicios de explotación masiva, aunque todavía no estamos fuera de la zona de peligro. Matthew Prince, el director ejecutivo de Cloudflare, una empresa de seguridad y monitoreo de redes que también tiene telemetría en una gran parte de Internet, comentó esta semana que ha visto un número exponencial de intentos de explotar los errores tras su divulgación. Esto proporciona una perspectiva sobre la rapidez con la que los actores maliciosos buscan abusar de las vulnerabilidades para su propio beneficio.

PHP no solo se encuentra en servidores web, sino que también se utiliza en herramientas de desarrollo, paquetes de línea de comandos y terminales, y otros componentes de software utilizados por enrutadores, dispositivos de almacenamiento y dispositivos de seguridad empresarial, como cortafuegos y VPNs. Debemos esperar ver una explotación de PHP2Shell en el futuro, ya que los equipos de TI más pequeños y los desarrolladores individuales pueden ser más lentos en actualizar. También habrá un período en el que diversas empresas que dependen de PHP e integran este lenguaje en sus propios productos y software necesitarán realizar actualizaciones.

A medida que más dispositivos y sistemas se actualizan, la superficie de ataque se reducirá con el tiempo. Sin embargo, los efectos colaterales de estos errores podrían sentirse durante años, especialmente en sistemas heredados que no tienen medios para ser actualizados.

¿Volverá a suceder esto? Este fue uno de esos raros días en los que el internet se detuvo, algo que he presenciado durante mi tiempo como periodista de seguridad. En 2016, una enorme botnet inundó el registro de internet Dyn con tráfico basura, provocando que muchos de los principales servicios de la web se paralizaran. En 2017, Corea del Norte utilizó herramientas de hacking del gobierno de EE. UU. que habían sido filtradas para infectar el sistema de salud del Reino Unido con ransomware. Y en 2024, una actualización defectuosa de CrowdStrike provocó una masiva caída global, haciendo que la mayoría de las computadoras con Windows en el mundo se bloquearan de una vez.

Según todos los informes relacionados con PHP2Shell, el internet escapó de lo que podría haber sido un día extremadamente doloroso y dañino. Sin embargo, es poco probable que este sea el último incidente importante que afecte a la web, y podría ser el primero en una tendencia de incidentes que explotan debilidades en tecnologías heredadas. Gran parte de esto se debe a fallas inherentes en software envejecido pero omnipresente que aún no se han descubierto, junto con herramientas de inteligencia artificial que facilitan la identificación de vulnerabilidades.

PHP, al igual que otros lenguajes y tecnologías de programación web de hace décadas, es "inseguro en memoria", lo que significa que puede ser atacado a través de una clase completa de vulnerabilidades que pueden obligar al software a filtrar o derramar datos sensibles desde el almacenamiento de memoria del software. La Agencia de Seguridad Nacional de EE. UU. afirma que alrededor del 75% de todas las vulnerabilidades activamente explotadas abusan de fallas relacionadas con la memoria, lo que indica que los hackers las utilizan con frecuencia.

Esto ha impulsado un movimiento hacia el uso de lenguajes seguros en memoria, como Python, Rust y Swift, que no pueden ser abusados de la misma manera que las vulnerabilidades de memoria. Por lo tanto, estos lenguajes son en gran medida inmunes a una amplia gama de vulnerabilidades que aún afectan a sus predecesores.

Sin embargo, esto aún deja una parte considerable de internet funcionando con tecnologías como PHP, códecs de medios y video, bibliotecas de compresión y otro software de hace décadas, que, cuando fallan, tendrán enormes implicaciones para el resto de la web.

Zack Whittaker es el editor de seguridad en TechCrunch. También es el autor del boletín semanal sobre ciberseguridad titulado "This Week in Security". Los interesados pueden contactarlo a través de un mensaje encriptado en Signal, utilizando el usuario zackwhittaker.1337. Además, está disponible por correo electrónico, y para verificar el contacto, se puede utilizar la dirección [email protected].

En otras noticias destacadas, Warhound ha recaudado 200 millones de dólares para desarrollar perros de guerra equipados con tecnología de Anduril, según informa Dominic-Madori Davis. Por su parte, Uber ha puesto a sus 30,000 empleados a trabajar con ChatGPT, como reporta Lucas Ropek. En el ámbito de la hospitalidad, Airbnb ha limitado las tareas para los huéspedes, lo que ha generado una reacción negativa por parte de los anfitriones, según Lauren Forristal. En el sector de inteligencia artificial, el laboratorio Flapping Airplanes, que tiene un año de antigüedad, ha recaudado 1,000 millones de dólares con una valoración de 6,000 millones, según Julie Bort. Tesla ha comenzado la producción de su robot Optimus en California, mientras sus ganancias caen un 43%, como indican Kirsten Korosec y Sean O'Kane. Finalmente, Sarah Perez informa que el internet está experimentando un muy mal día en términos de ciberseguridad, y se ha observado que las personas están utilizando inteligencia artificial para hacer que sus televisores inteligentes vuelvan a ser "tontos".

Fuente original: [TechCrunch](https://techcrunch.com/2026/10/24/php-ocalypse-how-two-critical-web-bugs-almost-broke-the-internet/).

---

*Contenido creado y optimizado para IA con [Medios CMS](https://medios.io)* — Plataforma profesional para la gestión de medios digitales y portales de noticias.