PHP2Shell: urge actualizar los portales web dominicanos

Santo Domingo, RD.- Las instituciones públicas y las empresas dominicanas deben actualizar PHP de inmediato. Este miércoles 21 de octubre se hicieron públicos los detalles y los parches de emergencia de PHP2Shell, dos fallas críticas en el lenguaje de programación que hace funcionar el 70.5 % de los portales web del mundo, entre ellos los creados con WordPress, presente en el 40.2 % de todos los sitios.

Las fallas permiten a un atacante tomar el control de un servidor sin usuario ni contraseña, robar datos y alterar páginas.

Un portal sin actualizar puede sufrir el robo de datos de ciudadanos y clientes, la filtración de contraseñas y llaves de acceso guardadas en la memoria del servidor, la publicación de información falsa en páginas oficiales y el desvío de pagos en tiendas en línea.

También puede servir de puerta de entrada a la red interna de la institución. Ante ese riesgo, Finlandia, Países Bajos y Francia desconectaron sitios gubernamentales de forma preventiva.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron 9.2 de 10 en la escala internacional de gravedad CVSS. Están en el propio motor de PHP y afectan desde la versión 5.4, lanzada en 2012, hasta la rama 8 actual: 14 años sin detectarse.

Por eso actualizar WordPress o sus complementos no basta; hay que actualizar PHP en el servidor.

La falla fue descubierta con inteligencia artificial. Investigadores de la firma Calif, que trabajan con OpenAI dentro de Patch the Planet, programa lanzado por OpenAI en junio de 2026 para encontrar y corregir fallas en el software de código abierto, la detectaron con el modelo GPT-5.6 Sol y la reportaron al equipo de PHP el 11 de agosto.

A partir de ese reporte, OpenAI encabezó una coalición con los responsables de PHP , la firma Wiz (que halló las fallas por su cuenta), Cloudflare y PHP2Shell: urge actualizar los portales webagencias de gobierno.

Durante unas diez semanas, del 11 de agosto al 21 de octubre, trabajaron en reserva para desarrollar y probar la solución en el marco de Patch the Planet. Su publicación estaba prevista para el 22 de octubre, pero se adelantó un día porque los detalles se filtraron.

Exhorto a las entidades públicas y privadas a difundir esta información y a solicitar a sus equipos técnicos y proveedores de alojamiento (hosting) que actualicen PHP a las versiones 8.5.12, 8.4.27, 8.3.36 u 8.2.35; que migren los sistemas con la versión 8.1 o anteriores, que ya no reciben soporte; y que revisen los registros del servidor y cambien contraseñas ante cualquier sospecha.

Si usted administra la página de su negocio, iglesia o junta de vecinos, llame hoy a quien se la mantiene. Page 1 of 3PHP2Shell: urge actualizar los portales web dominicanos

La inteligencia artificial nos dio la ventaja de conocer el peligro antes que los atacantes.

Depende de nosotros aprovecharla.

#SergioSánchezInforma

El fallo pasó 14 años sin detectarse; la IA lo encontró en agosto y la coalición trabajó en secreto hasta el parche del 21 de octubre. @Sergio Miguel Sanchez Paredes