Dos vulnerabilidades críticas en PHP ponen en riesgo a millones de sitios web y generan alerta para instituciones gubernamentales en México

Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon

• La aparición de PHP2Shell constituye una advertencia para el sector público y privado sobre los riesgos asociados con la dependencia de componentes tecnológicos ampliamente utilizados. En México, donde numerosos servicios gubernamentales dependen de plataformas digitales para interactuar con millones de ciudadanos, la identificación de instalaciones vulnerables, la actualización inmediata de PHP y la revisión de posibles exposiciones de información deben convertirse en prioridades operativas.

Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.

Las fallas CVE-2026–109618 y CVE-2026–109619, calificadas con una gravedad de 9.2 sobre 10, pueden permitir la ejecución remota de código sin autenticación, la filtración de información confidencial y la interrupción de servicios digitales. El descubrimiento, realizado con apoyo de modelos avanzados de inteligencia artificial, representa un riesgo significativo para empresas, proveedores tecnológicos y dependencias de los tres niveles de gobierno en México.

El 21 de octubre de 2026 se divulgaron dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el desarrollo de sitios y aplicaciones web. Las fallas, identificadas como CVE-2026–109618 y CVE-2026–109619, forman parte de una investigación denominada PHP2Shell y alcanzan una puntuación de 9.2 sobre 10 en la escala CVSS, lo que representa una amenaza de seguridad considerable para organizaciones públicas y privadas que dependen de esta tecnología para proporcionar servicios digitales.

El descubrimiento fue resultado de investigaciones realizadas por especialistas de Wiz Research, Calif y OpenAI Codex Security, quienes utilizaron modelos avanzados de inteligencia artificial, entre ellos Gemini 4 Argon y GPT-5.6-Sol. Estas herramientas contribuyeron a identificar las vulnerabilidades, desarrollar cadenas de explotación y validar las correcciones implementadas. Posteriormente, los investigadores coordinaron sus hallazgos con el equipo de seguridad de PHP para facilitar la publicación de las actualizaciones correspondientes.

La gravedad de PHP2Shell radica en que las vulnerabilidades se encuentran en el propio núcleo del intérprete PHP y no necesariamente en el código desarrollado por los responsables de los sitios web. Esto significa que incluso una aplicación correctamente programada, sin errores conocidos de seguridad, podría resultar vulnerable si utiliza una versión afectada. Una página tan sencilla como un programa que únicamente muestra el mensaje «Hola mundo» podría estar expuesta a determinados escenarios de explotación, independientemente de la calidad de su desarrollo.

Las investigaciones identificaron versiones afectadas que se remontan hasta PHP 5.4, por lo que el problema comprende aproximadamente 15 años de desarrollo tecnológico. Aunque las condiciones específicas de explotación dependen de la versión, configuración y vulnerabilidad involucrada, su alcance potencial resulta especialmente preocupante debido a la amplia adopción de PHP en Internet.

Desde una perspectiva técnica, CVE-2026–109618 está relacionada con problemas de corrupción de memoria durante el manejo de condiciones de agotamiento de memoria, mientras que CVE-2026–109619 involucra la persistencia indebida de estados globales entre solicitudes, lo que puede desencadenar condiciones de uso de memoria después de su liberación, conocidas como use-after-free.

Estas debilidades pueden permitir que un atacante ejecute código de manera remota sin necesidad de autenticarse, acceda a información sensible almacenada en la memoria de los procesos PHP o provoque interrupciones en la disponibilidad de los servicios afectados. Entre sus posibles consecuencias se encuentran el compromiso de servidores, la filtración de datos, la exposición de credenciales y el movimiento lateral dentro de las infraestructuras tecnológicas.

La ejecución remota de código representa un escenario particularmente peligroso porque las instrucciones maliciosas pueden ejecutarse con los mismos privilegios que el proceso PHP comprometido. En términos prácticos, esto podría proporcionar acceso a conexiones con bases de datos, contraseñas, claves API, certificados digitales, tokens de autenticación y otros secretos utilizados por las aplicaciones.

Ante esta situación, la principal recomendación para las organizaciones es actualizar inmediatamente todas las instalaciones afectadas. El equipo responsable del lenguaje publicó versiones corregidas el mismo 21 de octubre de 2026, entre ellas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12, disponibles mediante los canales oficiales de distribución. Además de instalar los parches, resulta necesario reiniciar los servicios correspondientes, incluidos Apache, PHP-FPM y los procesos PHP de larga duración, para garantizar que las versiones vulnerables dejen de ejecutarse.

Como medida de protección parcial y temporal, Cloudflare desplegó reglas de seguridad para sus clientes gratuitos y de pago. Sin embargo, estas defensas no garantizan una protección completa frente a todas las variantes de explotación, por lo que no deben considerarse un sustituto de las actualizaciones oficiales.

En aquellos casos donde resulte imposible actualizar inmediatamente, las organizaciones deben evaluar la suspensión temporal de los sitios vulnerables para impedir que solicitudes externas alcancen los procesos afectados. Asimismo, se recomienda revisar los registros de actividad, investigar posibles indicios de explotación y rotar preventivamente las contraseñas, claves API, tokens y demás secretos que pudieran haber quedado expuestos.

El riesgo también debe considerarse desde la perspectiva de los usuarios que no administran servidores PHP. Si una plataforma resulta comprometida y los atacantes consiguen acceder a sus credenciales, la reutilización de contraseñas podría facilitar ataques posteriores contra otros servicios. Por ello, es recomendable modificar las contraseñas utilizadas en sitios donde se confirme una exposición de información y evitar compartir las mismas credenciales entre distintas plataformas.

Por otra parte, los administradores de sitios web que no utilizan PHP directamente también deberían verificar si este componente se encuentra instalado o habilitado innecesariamente en su infraestructura. En servidores Apache, PHP puede ejecutarse mediante el módulo mod_php o a través de PHP-FPM utilizando proxy_fcgi. En nginx, las solicitudes PHP normalmente se transfieren a un proceso externo mediante FastCGI, por lo que resulta importante revisar la configuración activa y detectar directivas como fastcgi_pass. Si PHP no es necesario para el funcionamiento del servicio, se recomienda deshabilitarlo o desinstalarlo para reducir la superficie de ataque.


De acuerdo con la información técnica publicada en el portal de PHP2Shell, las investigaciones demostraron la posibilidad de ejecutar comandos remotamente y sin autenticación en entornos de prueba que utilizaban WordPress, Drupal y Joomla. No obstante, estas plataformas fueron utilizadas únicamente como ejemplos representativos, ya que las vulnerabilidades no dependen de un gestor de contenidos específico.

El portal también señala que aproximadamente el 70% de los sitios web utilizan PHP, lo que permite dimensionar el impacto potencial de las fallas. Entre los aspectos más preocupantes destaca la posibilidad de extraer información directamente de la memoria de los procesos afectados sin necesidad de conseguir previamente la ejecución remota de código, una característica que podría dificultar la detección mediante herramientas tradicionales de seguridad.

Como posibles indicadores de actividad sospechosa, los especialistas mencionan la aparición de cookies PHPSESSID inusualmente grandes o malformadas, solicitudes multipart anómalas, errores recurrentes HTTP 500, agotamiento inesperado de memoria y reinicios irregulares de procesos PHP. Sin embargo, la ausencia de estos comportamientos no garantiza que un servidor no haya sido comprometido.

También se describen medidas temporales de endurecimiento, como reducir determinados límites de entrada, deshabilitar la visualización pública de errores, disminuir la reutilización de procesos PHP-FPM y aplicar políticas restrictivas mediante SELinux o AppArmor. Estas configuraciones pueden reducir algunos escenarios de explotación o limitar sus consecuencias, pero ninguna proporciona una solución integral.

México enfrenta un escenario particularmente delicado debido a la dependencia de plataformas digitales utilizadas para la prestación de servicios públicos, la recaudación de recursos, la administración de información ciudadana y el funcionamiento cotidiano de instituciones gubernamentales. La exposición potencial no se limita a los portales principales de las dependencias, sino que también comprende aplicaciones secundarias, sistemas heredados, plataformas de terceros y servicios desarrollados internamente que podrían continuar operando sobre versiones antiguas de PHP.

Entre los sectores que deberían recibir atención prioritaria se encuentra el financiero y de recaudación gubernamental, particularmente las secretarías de finanzas estatales, tesorerías municipales y plataformas utilizadas para el pago de predial, tenencia, derechos de agua, licencias y otros trámites. Una eventual explotación en estos sistemas podría comprometer información de contribuyentes, credenciales administrativas, conexiones con bases de datos y mecanismos de integración con pasarelas de pago.

Otro sector especialmente sensible corresponde a las instituciones responsables de la identidad y el registro ciudadano, como las direcciones del Registro Civil, oficinas de catastro, registros públicos de la propiedad y dependencias encargadas de administrar padrones de beneficiarios de programas sociales. Estos organismos concentran información personal cuya exposición podría facilitar fraudes, suplantación de identidad y otras actividades ilícitas.

El sector jurídico y legislativo también debe considerar esta alerta dentro de sus prioridades de seguridad. Los boletines judiciales, sistemas de consulta de acuerdos de tribunales, portales de congresos locales, repositorios legislativos y plataformas de atención de quejas de las comisiones estatales de derechos humanos representan servicios cuya integridad y disponibilidad resultan fundamentales para el funcionamiento institucional.

En el ámbito municipal, la situación requiere especial atención debido a las diferencias presupuestales, técnicas y operativas que existen entre los ayuntamientos. Muchas administraciones utilizan gestores de contenidos como WordPress y Drupal, además de desarrollos propios basados en PHP, para operar portales ciudadanos y servicios administrativos. La falta de inventarios tecnológicos actualizados, el uso de aplicaciones heredadas y la dependencia de proveedores externos pueden dificultar la identificación y corrección oportuna de instalaciones vulnerables.

Los institutos y unidades responsables de transparencia y acceso a la información también deben verificar sus plataformas, especialmente aquellas que reciben solicitudes ciudadanas y administran documentos relacionados con obligaciones de transparencia, contratos, directorios institucionales y remuneraciones de servidores públicos.

La misma recomendación aplica para organismos descentralizados de servicios públicos, entre ellos comisiones municipales de agua potable y alcantarillado, operadores de transporte público y administradores de sistemas de movilidad. En estos casos, una interrupción tecnológica podría afectar directamente la continuidad de servicios esenciales para la población.

Las universidades públicas e institutos tecnológicos estatales constituyen otro grupo prioritario debido al uso de plataformas digitales para inscripciones, servicios escolares, consulta de calificaciones, repositorios académicos y sistemas de educación a distancia. Herramientas como Moodle, así como aplicaciones institucionales desarrolladas internamente, deben revisarse para determinar si dependen de versiones vulnerables de PHP.

En cuanto a la estrategia de mitigación, las dependencias gubernamentales deberían establecer un esquema de atención basado en la exposición de sus sistemas y las consecuencias de un eventual compromiso. La primera prioridad debe corresponder a las aplicaciones accesibles desde Internet que procesan datos personales, administran bases de datos o permiten realizar pagos y trámites ciudadanos. En segundo término, deben atenderse los sistemas de gestión interna e intranets conectados a redes institucionales, ya que podrían facilitar movimientos laterales si un atacante consigue acceso a la infraestructura. Finalmente, deben revisarse los portales informativos y gestores de contenidos institucionales, cuya explotación podría ocasionar alteraciones no autorizadas, campañas de desinformación, daños reputacionales o convertirse en un punto de entrada hacia otros sistemas. Esta clasificación debe ajustarse a la criticidad real de cada activo, sin posponer la actualización de servicios expuestos.

Para las autoridades mexicanas, PHP2Shell también plantea la necesidad de fortalecer la coordinación entre las áreas de tecnologías de la información, seguridad informática, protección de datos personales y proveedores externos. La aplicación de parches debe acompañarse de inventarios de activos, respaldos verificados, monitoreo de eventos, revisión de accesos privilegiados y procedimientos de respuesta ante incidentes que permitan actuar oportunamente frente a posibles compromisos.

La aparición de PHP2Shell constituye una advertencia para el sector público y privado sobre los riesgos asociados con la dependencia de componentes tecnológicos ampliamente utilizados. En México, donde numerosos servicios gubernamentales dependen de plataformas digitales para interactuar con millones de ciudadanos, la identificación de instalaciones vulnerables, la actualización inmediata de PHP y la revisión de posibles exposiciones de información deben convertirse en prioridades operativas.

La actualización del intérprete constituye la medida fundamental para corregir estas vulnerabilidades, mientras que las reglas de protección, los cambios de configuración y los mecanismos adicionales de seguridad deben considerarse defensas complementarias. Postergar estas acciones podría incrementar el riesgo de filtraciones de información, interrupciones de servicios esenciales y compromisos de infraestructura con consecuencias administrativas, económicas y sociales de gran alcance.

Para más información, visite: https://www.silikn.net/