Ante alertas por vulnerabilidades en PHP, llaman a tomar medidas en el país

Ante la identificación global de dos vulnerabilidades críticas de ejecución remota de código en el lenguaje PHP, la Dirección de Ciberseguridad del Micitt hizo un llamado preventivo a todas las instituciones públicas, proveedores de servicios y encargados de tecnologías de la información.

La institución, a través del Equipo de Respuesta a Incidentes de Seguridad Informática (CSIRT-CR), lanzó dos alertas por los fallos en el lenguaje de programación, identificadas como CVE-2026-109618 y CVE-2026-109619.

"Estas fallas, que podrían comprometer versiones de PHP de la 5 a la 8, representan un riesgo potencial para la infraestructura tecnológica debido al uso generalizado de este lenguaje en portales web y sistemas de gestión de contenido", indicó la cartera de Ciencia y Tecnología.

Frente a esta situación, enfatiza las siguientes acciones prioritarias:

• Actualización inmediata: Se insta a los equipos técnicos a preparar sus plataformas y aplicar los parches de seguridad oficiales de manera prioritaria en cuanto sean liberados por los desarrolladores.
• Mitigación temporal: Mientras se aplican los parches, se recomienda implementar bloqueos por geolocalización en los sitios con PHP expuestos a internet, que corresponden en su mayoría a portales que utilizan sistemas de gestión de contenido (CMS), de forma que solo se permita el acceso desde las regiones necesarias para la operación del servicio.
• Monitoreo de sistemas: Es fundamental revisar los registros de los servidores web para detectar cualquier actividad anómala, intentos de ejecución de comandos no autorizados o la presencia de archivos sospechosos.
• Resguardos preventivos: Se recomienda realizar respaldos aislados y verificables de las bases de datos y configuraciones antes de ejecutar cualquier proceso de actualización en los entornos de producción.

Cualquier duda o reporte de incidentes puede canalizarse a través de los canales oficiales del CSIRT-CR: correo csirt@micitt.go.cr, teléfono 2539-2303.

Informáticos se suman

El Colegio de Profesionales en Informática y Computación (CPIC) se unió al llamado a instituciones públicas, municipalidades, empresas, centros educativos, pymes y emprendimientos a revisar de inmediato sus plataformas digitales ante fallas críticas en PHP, una tecnología utilizada en cerca de 7 de cada 10 sitios web cuyo lenguaje de programación del servidor se conoce, según W3Techs.

Su uso incluye páginas construidas con WordPress, Drupal y Joomla, por lo que el riesgo también alcanza a portales de trámites, tiendas en línea y sitios administrados por proveedores externos.

Las dos vulnerabilidades, conocidas como "PHP2Shell" pueden permitir que un atacante ejecute acciones sin autorización y sin necesidad de iniciar sesión en un servidor vulnerable.

Esto podría comprometer el funcionamiento de los sitios y exponer información sensible, como contraseñas y claves de acceso. Ya existen actualizaciones para corregirlas, pero deben ser aplicadas por los responsables técnicos de cada sistema.

El Colegio aclara que la corrección debe realizarse en el servidor donde funciona la página. Por ello, los usuarios no necesitan instalar una actualización especial en sus teléfonos o computadoras por estas vulnerabilidades.

Estas son las recomendaciones del gremio:

• Confirmar si sus sitios utilizan PHP: Consultar al equipo de tecnología, al proveedor de alojamiento web o a quien administra la página. La revisión debe incluir tiendas en línea, portales de servicios y sistemas antiguos.
• Aplicar las actualizaciones de seguridad: Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según la rama utilizada, o los paquetes corregidos que suministre el proveedor. El equipo de PHP advierte que las medidas temporales no sustituyen la actualización.
• Revisar posibles señales de compromiso: Los responsables técnicos deben analizar las bitácoras para detectar actividad anómala y renovar credenciales cuando exista evidencia o sospecha razonable de exposición. Si no es posible actualizar de inmediato, deben evaluar controles temporales y, cuando no se pueda controlar el riesgo, la suspensión del servicio expuesto.

IA acelera la respuesta

La investigación que permitió identificar estas fallas contó con apoyo de Inteligencia Artificial (IA). Según los investigadores, estas herramientas facilitaron el análisis de problemas que llevaban más de una década presentes en el código. Esa capacidad también puede reducir el tiempo y el esfuerzo necesarios para desarrollar ataques, lo que refuerza la urgencia de actualizar los sistemas.

"Este caso demuestra que la Inteligencia Artificial está cambiando la manera en que se identifican y gestionan las amenazas de ciberseguridad.

La actualización oportuna de los sistemas no debe verse como una tarea operativa menor, sino como una responsabilidad profesional e institucional que protege la continuidad de los servicios y la información de las personas", señaló el Ing. Ricardo Romero López, presidente de la Junta Directiva del CPIC.

Para los usuarios, el Colegio recomienda no ingresar información si una página conocida solicita datos inusuales o redirige a sitios inesperados. También pide desconfiar de correos o mensajes que utilicen esta noticia como pretexto para solicitar contraseñas, códigos de acceso o descargas de archivos.

El CPIC recuerda que la protección de los servicios digitales requiere personal profesional calificado, revisiones periódicas, respaldos y procedimientos claros para responder ante incidentes.