Ámbitos geográficos y sectoriales más afectados por las vulnerabilidades PHP2Shell
Tras revelarse uno de los fallos de seguridad más graves del año y de los últimos tiempos, en relación al lenguaje de programación web PHP, comienzan los balances de afección a países y sectores.
Check Point Research, la división de Inteligencia de Amenazas de Check Point Software Technologies, pionero y líder global en soluciones de ciberseguridad, ha revelado que dos vulnerabilidades críticas en PHP —el lenguaje de programación que sustenta gran parte de los sitios web, tiendas online y servicios de internet del mundo—, conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), están siendo atacadas activamente. Desde la filtración de los detalles antes de su divulgación oficial, el 10% de las organizaciones a nivel mundial se han visto afectadas, registrando un pico de actividad en la medianoche del 21 al 22 de octubre. Gobiernos como los de Países Bajos y Finlandia han desconectado webs por precaución, mientras que en España el impacto se sitúa en el 12%.
A pesar de situarse en línea con otros países europeos, Check Point Software advierte de la necesidad de extremar la precaución, poniendo el foco en los sectores más expuestos internacionalmente: las telecomunicaciones (20%) y la educación (18%). En España, las entidades de estos ámbitos deben priorizar la revisión de sus servidores al gestionar infraestructuras críticas y volúmenes masivos de datos expuestos a entornos PHP. El mapa mundial está encabezado por Hungría (38%), Dinamarca (32%) y Austria (28%), ubicándose España en el grupo del 12% junto a Suiza, Polonia, Chequia y el Reino Unido. Actualizar gestores como WordPress no basta; es indispensable actualizar el motor de PHP a nivel de servidor (versiones 8.2.35, 8.3.36, 8.4.27, 8.5.12 o superiores).
“Cuando los gobiernos eligen deshabilitar sus propios sitios web en lugar de arriesgarse a dejarlos expuestos, eso te da una idea bastante clara de la gravedad de esta amenaza. Remediar la vulnerabilidad requiere actualizar los sistemas —lo cual no siempre es ágil ni sencillo por las dependencias existentes— o implementar soluciones de protección proactivas frente a nuevas amenazas emergentes. Si bien la actualización es prioritaria, este escenario demuestra que la dependencia inevitable de tecnologías como esta, difíciles de sustituir a corto plazo, exige cambiar de paradigma: ante la velocidad de ataque que permite la IA, la seguridad reactiva ha dejado de ser una opción viable”, afirma Gabriela Zornoza, experta en seguridad en entornos híbridos (Hybrid Mesh Security) en Check Point Software.
Ante el riesgo de que los atacantes instalen web shells para lograr un acceso permanente, Check Point Research detalla las acciones urgentes que las organizaciones deben llevar a cabo. Es necesario realizar un inventario exhaustivo de cada instancia de PHP —incluyendo contenedores y productos de terceros—, ya que no se puede proteger un sistema desconocido. Asimismo, se debe parchear PHP directamente en el servidor comenzando por los sistemas expuestos a internet, confirmar con los proveedores externos de hosting si el parche ya ha sido aplicado, y reiniciar y verificar los servicios para comprobar que operan con la versión corregida. En caso de no poder actualizar con rapidez, se aconseja restringir o desconectar temporalmente el servicio vulnerable, además de añadir capas de protección como el bloqueo de ataques y la limitación de la comunicación con la red corporativa para evitar la propagación de brechas.
Del mismo modo, dado que instalar el parche no elimina el código malicioso previo, Check Point recuerda la importancia de revisar el servidor en busca de indicios de compromiso. Entre las principales señales de alarma destacan las interrupciones inexplicables en el servicio web, la aparición de archivos PHP nuevos o desconocidos, las solicitudes inusuales a los servidores, la ejecución de comandos del sistema por parte de los procesos del servidor, y las conexiones dirigidas hacia direcciones externas desconocidas.
