Corea del Sur eleva la alerta cibernética ante la propagación de ataques PHP2Shell

Gobiernos y empresas de todo el mundo han pasado la semana parcheando servidores o desconectando sitios web tras la revelación de PHP2Shell. El nombre abarca dos fallos críticos en PHP, el lenguaje de programación que sustenta cerca del 70% de los sitios web del mundo, y ambos fueron descubiertos mediante herramientas de IA. El miércoles 21 de octubre, el proyecto PHP lanzó correcciones de emergencia para CVE-2026-109618 y CVE-2026-109619. Ambos fallos permiten que un atacante sin credenciales ejecute código en un servidor vulnerable. El FBI y la NSA recomendaron a las organizaciones que no puedan actualizar de inmediato que desconecten sus sistemas.edition.cnn.com+1

La explotación comenzó antes del parche

Amazon indicó que su red señuelo registró un intento de explotación el 17 de octubre, cuatro días antes de que los fallos se hicieran públicos. La empresa ahora califica a PHP2Shell como "ampliamente explotado en la naturaleza". "Una vez que se levantó el embargo y se lanzó el parche, aparecieron pruebas de concepto adicionales en cuestión de horas", afirmó Amazon. Los identificadores de los fallos se filtraron el 20 de octubre, por lo que el equipo de PHP adelantó su lanzamiento del 22 de octubre.hwbusters.com+2

Sitios web gubernamentales cayeron en toda Europa. En el Reino Unido, 32 servicios públicos fueron forzados a desconectarse. El jueves, la Oficina de Seguridad Nacional de Corea del Sur celebró una reunión de emergencia con funcionarios civiles, gubernamentales y militares. El país también elevó su alerta de ciberamenazas para el sector privado de "interés" a "precaución". El subdirector Song Ki-ho declaró que la velocidad de la respuesta determinará el alcance de los daños.upi.com+2

La IA convirtió una vieja debilidad en una crisis

Investigadores de la firma de seguridad Calif descubrieron los fallos mientras trabajaban en la iniciativa Patch the Planet de OpenAI. Wiz encontró posteriormente exploits relacionados por su cuenta. OpenAI calificó el error como "una de las vulnerabilidades más impactantes de los últimos tiempos". CNN informa que la debilidad subyacente fue señalada por primera vez en 2004, pero era demasiado tediosa para que los humanos la explotaran, mientras que la IA descubrió cómo atacarla en dos días. Calif afirmó que utilizó solo modelos de IA accesibles al público.edition.cnn.com+1

Adam Meyers, de CrowdStrike, advirtió que muchas versiones obsoletas de PHP siguen en funcionamiento. "Los delincuentes no necesitan encontrar la vulnerabilidad primero, pueden convertirla en un arma después del hecho", señaló.edition.cnn.com

Advertencias de un "tsunami de vulnerabilidades"

El subdirector de seguridad de la información de Anthropic, Jason Clinton, advirtió en X que se avecina un "tsunami de vulnerabilidades". "Por muy mal que hayan ido las cosas en los últimos 4 días, van a empeorar mucho antes de mejorar", escribió. Instó a los líderes de seguridad a pedir ayuda a sus juntas directivas con "lo básico", añadiendo: "necesitamos aguantar unos 18 meses". El CEO de Salesforce, Marc Benioff, estuvo de acuerdo. "Jason tiene toda la razón. Código rojo", publicó el jueves.businessinsider.com

No todos ven el mismo nivel de peligro. El miércoles, la directora ejecutiva de la PHP Foundation, Elizabeth Barron, dijo a CNBC que no había "evidencia de exploits funcionales". Sin embargo, investigadores de Tolmo afirmaron haber creado un exploit funcional en menos de un día.cnbc.com