Las dos vulnerabilidades críticas del lenguaje de programación PHP, conocidas como «PHP2Shell» y descubiertas con ayuda de inteligencia artificial, desataron este jueves una ola de millones de intentos de ataque y obligaron a bancos, aerolíneas, ferrocarriles y gobiernos de varios continentes a desconectar servicios en línea de forma preventiva.
De acuerdo con el director general de Cloudflare, Matthew Prince, en las 10 horas previas al anuncio público ya se registraban miles de intentos de explotación en su red; la cifra saltó a decenas de miles en los 45 minutos posteriores, a cientos de miles en dos horas y a millones durante la madrugada.
Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código a distancia en servidores vulnerables. PHP está presente en cerca del 70% de los sitios web del mundo. Los parches se publicaron el miércoles, pero los detalles técnicos se filtraron antes de que las correcciones estuvieran listas.
De Japón a Finlandia
En Japón, la correduría Nomura, el grupo financiero Mitsubishi UFJ, la aerolínea ANA y East Japan Railway suspendieron temporalmente algunos servicios de internet. El Ministerio de Finanzas y la Agencia Meteorológica limitaron sus plataformas, y la Agencia Tributaria Nacional retiró su servicio en línea.
La francesa Orange bloqueó sitios y aplicaciones basados en PHP en varias filiales. En Finlandia, el proveedor estatal Valtori instaló parches durante la noche y comenzó a levantar bloqueos, aunque su director, Hannu Naumanen, advirtió que restablecer los servicios puede llevar días o incluso semanas. Valtori aclaró que no detectó explotación activa en sus sistemas.
El Ministerio de Industria de China pidió revisar y actualizar sistemas de inmediato y cambiar contraseñas y claves cuando sea necesario; Corea del Sur elevó el nivel de alerta de ciberseguridad del sector privado y activó medidas de emergencia.
«Hacía mucho, mucho tiempo que no veía nada igual», dijo el director general de Microsoft, Satya Nadella, en un acto en Colonia, Alemania. Madeline Lawrence, cofundadora de Aikido Security, resumió que las empresas corren a actualizar «frente a atacantes que pueden usar la IA para explotarlos».
Hasta ahora no se han documentado robos de datos derivados de estos ataques. La recomendación de las autoridades se mantiene: actualizar PHP a las versiones corregidas o aislar los servidores que no puedan parcharse.
Con información de Reuters y El País.
Deja una respuesta