El miércoles, una tecnología web de código abierto llamada PHP, con décadas de antigüedad, casi rompe internet, gracias a dos vulnerabilidades que habían permanecido latentes durante años hasta que los investigadores recientemente descubrieron una forma de explotarlas. Los errores se denominan PHP2Shell, designados oficialmente como CVE-2026-109618 y CVE-2026-109619. En términos simples, los errores permiten a cualquiera que sepa cómo explotarlos irrumpir en un sistema en línea que ejecute PHP, como un sitio web o un servidor expuesto a internet, sin necesidad de contraseña para acceder o modificar sus datos. Tal como están las cosas, esto fue bastante grande, obligando a millones de personas en todo el mundo a apresurarse a parchear sus sistemas antes de que los hackers maliciosos pudieran abusar de ellos.

La Fundación PHP, que mantiene el software web PHP, publicó públicamente parches el miércoles que corrigen los errores, los cuales, una vez instalados, evitan que los servidores expuestos a la web sean atacados. La fundación ya había dado a algunas de las mayores empresas de internet y proveedores de alojamiento web que dependen de PHP una ventaja temprana para parchear. Gracias a semanas de conversaciones entre bastidores y una cuidadosa coordinación en toda la industria, el mundo, hasta ahora, evitó en gran medida la explotación masiva de internet. A partir del miércoles, los gobiernos comenzaron a instar a los ciudadanos y a las empresas con sitios web a tomar medidas para mitigar los riesgos en sus extremos. Una amplia gama de industrias cerraron sus sitios web y retiraron servicios en línea para parchear sus sistemas. Bancos, minoristas, sitios de juegos, tiendas en línea, hospitales y algunas agencias gubernamentales dieron de baja sus servidores para prevenir ataques. Pero los investigadores de seguridad advierten que la situación aún no ha terminado, y que un gran número de sistemas en todo el mundo permanecen sin parchear y vulnerables a hackeos y robo de datos. Esto también es poco probable que sea el último gran susto de software de internet, y algunos esperan que la llegada de la IA descubra rápidamente vulnerabilidades aún no descubiertas que esperan ser encontradas y abusadas.

Investigadores de seguridad en Calif encontraron dos errores en PHP, un lenguaje de programación ampliamente utilizado en todo el mundo para construir sitios web y aplicaciones web, tanto en internet como alojados localmente en redes corporativas, como intranets y sitios internos. PHP es de código abierto, lo que significa que es gratuito y está disponible para que cualquiera lo use por casi cualquier motivo. Como tal, se ha convertido en uno de los lenguajes de programación web más populares y ampliamente utilizados en la web hoy en día. Los dos errores se descubrieron por primera vez en 2024, pero no se consideraron explotables en ese momento y no se parchearon. Los investigadores de seguridad recientemente encontraron una manera de explotarlos, lo que les llevó a alertar a los creadores del software para que los corrigieran. Calif alertó a la Fundación PHP, que comenzó un período de corrección de los errores y divulgación coordinada. La fundación lo hizo ofreciendo la información y los parches sobre los problemas de seguridad bajo un embargo estrictamente vigilado, esencialmente mantenido en confidencialidad hasta una fecha límite específica, para dar a las grandes empresas la oportunidad de adelantarse a la instalación de las correcciones.

PHP2Shell es bastante grave porque puede ser abusado de forma remota a través de internet y sin que la víctima tenga que hacer clic en un enlace o abrir un archivo. Esto se conoce como ejecución remota de código, y es uno de los tipos de errores más dañinos de explotar porque pueden otorgar a un hacker en cualquier parte del mundo efectivamente el control total sobre un sistema afectado y sin parchear. Peor aún, estos errores específicos de PHP hacen posible irrumpir en cualquier sistema sin parchear en internet sin necesidad de una contraseña o cualquier otra credencial a través de internet, conocido como acceso no autenticado. Esto permitiría a un hacker malicioso plantar malware en la computadora, como para robar datos o simplemente para mantener un punto de apoyo a largo plazo al que puedan regresar más tarde.

Los errores son particularmente riesgosos porque PHP es un software extremadamente popular, en parte porque es gratuito y relativamente fácil de usar, pero también porque ha existido durante décadas. Alrededor del 70% de la internet expuesta a la web depende de PHP, aunque su uso ha ido disminuyendo lentamente con los años en favor de tecnologías más nuevas.