Perú en alerta ante vulneración de los protocolos de internet en entidades públicas y privadas

El Centro Nacional de Seguridad Digital de la Presidencia del Consejo de Ministros (PCM) alertó sobre el riesgo de ataques masivos a páginas web de entidades públicas y privadas debido a dos vulnerabilidades críticas detectadas en PHP, un lenguaje de programación utilizado para crear sitios y aplicaciones de internet. Los errores podrían permitir que atacantes ejecuten instrucciones a distancia en servidores que todavía no cuentan con las correcciones.

En su informe del 21 de octubre, el organismo identificó la amenaza denominada PHP2Shell y advirtió que los detalles técnicos de las vulnerabilidades se filtraron en internet antes de la divulgación coordinada y la publicación oficial de los parches.

La alerta también alcanzó a otros países. Los equipos de seguridad digital de Estados Unidos, Países Bajos, Alemania, Reino Unido, Japón y España pidieron a las organizaciones que utilizan PHP que instalaran las actualizaciones para reducir el riesgo de intrusiones.

• Papa León XIV tendrá un helicóptero ambulancia en Perú por si surge una emergencia durante su visita
• Luis Dyer traslada responsabilidad a la población y reconoce límites ante El Niño: "Está por encima de cualquier esfuerzo"

El Instituto Nacional de Ciberseguridad de España (Incibe) calificó las fallas con una puntuación de 9,2 sobre 10, dentro del nivel crítico. Según EFE, algunos servicios, páginas web, medios de comunicación y hospitales de determinados países optaron por desconectarse de forma preventiva.

El equipo de PHP publicó las correcciones el 21 de octubre. No obstante, el Centro Nacional de Seguridad Digital advirtió que ya se habían reportado intentos de explotación y que la difusión de pruebas técnicas podía facilitar nuevos ataques contra los sistemas que continuaran expuestos.

¿Qué es PHP2Shell y qué riesgos representa para los servidores?

PHP es un lenguaje de programación muy utilizado para crear páginas web dinámicas y aplicaciones de internet. Permite que los sitios respondan a las acciones de los usuarios, procesen información y ejecuten distintas funciones. Por ello, las fallas que afectan a este sistema pueden comprometer los servicios que dependen de él.

Según el Centro Nacional de Seguridad Digital, las vulnerabilidades PHP2Shell podrían permitir que un atacante remoto ejecute código arbitrario en un servidor afectado. Esto significa que una persona podría dar instrucciones al sistema sin tener autorización, ejecutar comandos y comprometer su funcionamiento.

El informe peruano precisó que la información pública disponible todavía no detallaba la causa exacta de ambos errores, los componentes afectados ni la ruta específica para explotarlos. Un reporte preliminar vinculó una de las fallas, identificada como CVE-2026-109618, con un error de memoria que ocurre cuando un programa intenta utilizar un espacio que ya fue liberado.

Las organizaciones que utilizan PHP deben comprobar qué versión tienen instalada y aplicar las correcciones correspondientes. Las versiones que solucionan las vulnerabilidades son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

El riesgo también alcanza a las ramas PHP 8.1 y anteriores, que ya no reciben mantenimiento de seguridad del proyecto principal. Por ello, estos sistemas requieren especial atención, ya que no cuentan con nuevas correcciones de seguridad de ese equipo para sus versiones antiguas.

El Centro Nacional de Seguridad Digital también advirtió que ya se habían reportado intentos de explotación. La publicación de información técnica y pruebas de concepto aumentó la posibilidad de ataques masivos contra servidores que todavía no habían corregido las vulnerabilidades.