La amenaza provocó cierres preventivos de sitios gubernamentales, hospitales y otros servicios digitales en Europa.
El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) emitió una alerta de ciberseguridad dirigida a las instituciones públicas de Costa Rica por el descubrimiento de dos fallas críticas en PHP, uno de los lenguajes de programación más utilizados en el mundo para el funcionamiento de páginas web. Las vulnerabilidades permiten que ciberdelincuentes ejecuten instrucciones en servidores sin autorización y eventualmente tomen el control de los sistemas afectados.
La advertencia, emitida ayer martes, se produjo en medio de una movilización internacional para corregir las vulnerabilidades, conocidas conjuntamente como PHP2Shell. La gravedad de la amenaza llevó a varios gobiernos europeos a suspender temporalmente el funcionamiento de sitios web oficiales, mientras empresas tecnológicas y organismos de ciberseguridad trabajan para evitar ataques informáticos.
La magnitud del riesgo está relacionada con la presencia de PHP en Internet. Según datos de la firma especializada W3Techs, este lenguaje se utiliza en aproximadamente el 69,3% de los sitios web cuyo lenguaje de programación del servidor puede identificarse. Entre las plataformas que funcionan con PHP se encuentran WordPress, Drupal, Joomla y Magento, utilizadas para administrar desde pequeños blogs hasta portales institucionales, medios de comunicación y tiendas en línea.
El documento del Micitt fue remitido a directores, jefaturas de tecnologías de información y enlaces de ciberseguridad, con recomendaciones para preparar los sistemas institucionales, revisar posibles actividades sospechosas y aplicar las actualizaciones correspondientes.
En una declaración oficial remitida a Delfino.cr este miércoles, la Dirección de Ciberseguridad del Micitt confirmó que, a través del Equipo de Respuesta ante Incidentes de Seguridad Informática de Costa Rica (CSIRT-CR), hizo un llamado preventivo a todas las instituciones públicas, proveedores de servicios y responsables de tecnologías de información para que adoptaran medidas de protección.
El ministerio explicó que las vulnerabilidades representan un riesgo potencial para la infraestructura tecnológica debido al uso generalizado de PHP en portales web y sistemas de administración de contenidos.
La institución enfatizó que los responsables de los sistemas informáticos deben preparar sus plataformas para instalar las correcciones oficiales, revisar los registros de actividad de los servidores en busca de comportamientos anormales y mantener copias de respaldo seguras de sus bases de datos y configuraciones.
El Micitt señaló en su declaración:
La Dirección de Ciberseguridad reitera que la gestión oportuna de estas alertas es indispensable para proteger la continuidad de los servicios digitales del Estado y la confianza en el ecosistema tecnológico nacional".
¿Qué está pasando y por qué es tan grave?
PHP es un lenguaje de programación que permite que las páginas web realicen funciones como procesar formularios, administrar cuentas de usuarios, consultar bases de datos y gestionar información. Aunque quienes navegan por Internet normalmente no lo perciben, numerosos servicios digitales dependen de esta tecnología para funcionar.
Los investigadores descubrieron dos errores en la manera en que PHP administra la memoria de los servidores cuando procesa determinadas solicitudes. Estas fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de gravedad de 9,2 sobre 10 en una escala internacional utilizada para medir vulnerabilidades informáticas.
En términos sencillos, un atacante puede aprovechar esos errores para enviar instrucciones especialmente preparadas a una página web y conseguir que el servidor ejecute acciones que no debería permitir. Lo más preocupante es que el ataque puede realizarse a distancia, sin necesidad de conocer una contraseña o disponer previamente de acceso autorizado al sistema.
Si el ataque tiene éxito, el delincuente puede acceder a información confidencial, sustraer contraseñas, modificar archivos, interrumpir el funcionamiento de los servicios o instalar programas maliciosos que le permitan mantener el acceso al servidor.
Europa desconecta sitios web y empresas detectan intentos de ataque
La preocupación por PHP2Shell provocó medidas preventivas en varios países. Según informó la agencia Reuters este miércoles, instituciones gubernamentales, hospitales, centros educativos y otras organizaciones europeas suspendieron temporalmente el acceso a determinados sitios web para evitar que fueran utilizados como puerta de entrada a sus sistemas informáticos.
En Países Bajos, las suspensiones alcanzaron portales gubernamentales, hospitales, partidos políticos, la federación nacional de fútbol y el puerto de Róterdam. En Alemania, el proveedor federal de servicios informáticos desconectó varias páginas oficiales, mientras que en Francia el Ministerio del Interior suspendió temporalmente los sitios de distintas prefecturas, oficinas que representan al Gobierno central en las regiones.
Bélgica y Finlandia también adoptaron medidas preventivas. Las autoridades finlandesas aclararon que la suspensión de sus servicios digitales no respondió a una filtración de información y que no habían identificado intentos de aprovechar las vulnerabilidades contra esos sistemas.
La Fundación Wikimedia, responsable de Wikipedia, también reconoció que sus sistemas que utilizan PHP estaban expuestos al problema y anunció la suspensión temporal de determinados servicios mientras se aplicaban las correcciones.
Cloudflare, una de las principales empresas de seguridad y distribución de contenidos de Internet, confirmó que detectó intentos de ataque dirigidos contra sitios de sus clientes. La compañía también identificó modificaciones en los métodos utilizados por los atacantes para intentar superar sus mecanismos de protección.
Actualizaciones de emergencia
Las vulnerabilidades fueron divulgadas públicamente antes de la fecha inicialmente prevista, lo que llevó al equipo de seguridad de PHP a adelantar del jueves 22 al miércoles 21 de octubre la publicación de las correcciones.
Este miércoles, los desarrolladores de PHP publicaron cuatro actualizaciones de emergencia, correspondientes a las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, para corregir ambas fallas. El equipo pidió a los responsables de las instalaciones de PHP actualizar sus sistemas inmediatamente.
El problema también alcanza a versiones antiguas del lenguaje que ya no reciben mantenimiento ordinario de sus desarrolladores, aunque algunos proveedores ofrecen correcciones específicas para esos sistemas.
Como las vulnerabilidades se encuentran en PHP, actualizar solamente aplicaciones como WordPress o sus complementos no basta para solucionar el problema. Los administradores deben corregir la instalación de PHP que utilizan sus servidores o confirmar con sus proveedores de alojamiento web que las actualizaciones correspondientes hayan sido aplicadas.
‼️ PHP UPDATE: The Dutch parliament, the Dutch national cyber agency and Finland's central government have pulled websites offline ahead of the PHP patch.
Finland's state IT centre Valtori is shutting down public-facing central government web services. The National Land Survey of Finland is already down.
In the Netherlands, the Tweede Kamer, the NCSC and the Dutch Data Protection Authority are offline. So are tech site Tweakers and NotuBiz, which runs council information for 100+ local governments.
The University of Vienna switched off its websites, webmail and Moodle. The University of Freiburg and Finland's Haaga-Helia have taken services down too.
Fur Affinity, Pinboard, explain xkcd and every wiki on Miraheze are dark as well.
Valtori says its shutdown is a precaution, not the result of an attack or breach.
PHP was created by Rasmus Lerdorf in 1994, it initially stood for Personal Home Page
PHP's fix is due at 14:00 UTC today.
— International Cyber Digest (@IntCyberDigest) October 21, 2026
¿Qué deben hacer las instituciones costarricenses?
La Dirección de Ciberseguridad del Micitt recomendó actualizar cuanto antes los servidores y aplicaciones que utilizan PHP, dando prioridad a aquellos que pueden recibir conexiones desde Internet y a los sistemas considerados esenciales para el funcionamiento institucional.
También solicitó revisar los registros de actividad para detectar comportamientos extraños, como instrucciones que normalmente no deberían ejecutarse, archivos desconocidos o conexiones sospechosas hacia otros sistemas informáticos.
Entre las medidas adicionales figuran reforzar las barreras de seguridad de los servidores, restringir el acceso a los sistemas de administración y mantener copias de respaldo verificables y aisladas de las aplicaciones, bases de datos y configuraciones.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea (CERT-EU) recomendó que las organizaciones que no puedan actualizar sus sistemas inmediatamente valoren desconectar temporalmente de Internet los servicios vulnerables hasta que puedan aplicar las correcciones.
El Micitt también recordó que las instituciones y los responsables de servicios tecnológicos pueden reportar incidentes o realizar consultas al CSIRT-CR mediante el correo electrónico [email protected] o el número telefónico 2539-2303.
Para las personas que utilizan habitualmente páginas web, la existencia de PHP2Shell no significa que sus teléfonos o computadoras estén infectados. La vulnerabilidad afecta principalmente a los servidores que sostienen los servicios digitales, por lo que corresponde a las instituciones, empresas y proveedores tecnológicos encargados de administrarlos aplicar las medidas necesarias para protegerlos.