Entre los sistemas sin corrección hay uno de la SEP que funciona con PHP de 2004
Por: Redacción
Al menos 8,600 servicios web en México funcionan con versiones de PHP que ya no recibirán ninguna corrección de seguridad, en plena ola de ataques por PHP2Shell, la falla que el 26 de octubre la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) confirmó como explotada activamente.
El conteo, hecho con el buscador Shodan el 22 de octubre y publicado por Ignacio Gómez Villaseñor en una columna invitada de Milenio, ubica entre esos sistemas uno de la Secretaría de Educación Pública (SEP) que corre con PHP 4.3, de 2004, y otro de la Secretaría de Gobernación (Segob) con PHP 5.2, de 2007. Ninguna de las dos versiones recibe actualizaciones desde hace más de 15 años.
De 39,661 servicios con PHP detectados en el país, cerca de uno de cada cinco usa una versión sin parche posible. Al filtrar solo dominios gob.mx aparecieron 550 servicios de gobierno; de una muestra de 20 revisados uno por uno, 19 eran vulnerables.
Qué es PHP2Shell
PHP es el lenguaje de programación con el que funcionan WordPress, tiendas en línea y buena parte de los portales de gobierno. Según W3Techs, lo usa el 70.2% de los sitios web cuyo lenguaje se conoce.
Las fallas CVE-2026-109618 y CVE-2026-109619, apodadas PHP2Shell, están en el propio PHP y no en una página en particular. Basta con que el servidor acepte recibir archivos, como viene configurado de fábrica, para que un atacante pueda tomar el control del equipo sin usuario ni contraseña. El equipo de PHP las calificó con 9.2 de 10 en gravedad.
La falla también permite leer fragmentos de la memoria del servidor, donde se guardan contraseñas, claves de acceso y certificados. Actualizar cierra la puerta, pero no recupera lo que ya pudo salir.
Cinco días de octubre
Amazon registró el primer intento de ataque el 17 de octubre, cuatro días antes de que la falla fuera pública. El 20 se filtraron los detalles y PHP tuvo que adelantar su corrección, que publicó el 21 de octubre a las 8:00, hora del centro de México, para las versiones 8.2 a 8.5.
Ese mismo día, la Agencia de Seguridad Nacional (NSA) y la CISA pidieron parchar o desconectar los servidores de inmediato. En Países Bajos, ministerios, hospitales y medios apagaron sus sitios por precaución.
El 24 de octubre, un investigador de Perplexity confirmó la ejecución remota de código en servidores trampa. El 26, la CISA agregó ambas fallas a su catálogo de vulnerabilidades explotadas y dio plazo al 29 de octubre para que las agencias federales de Estados Unidos las corrijan. La firma Censys estimó más de 32.5 millones de servicios PHP en el mundo con versiones afectadas.
Una tercera falla, sin parche
El 23 de octubre, PHP divulgó una nueva vulnerabilidad, CVE-2026-115560, que también permite ejecutar código a distancia y que las actualizaciones del 21 no corrigen. Para esta no hay parche: PHP recomendó como medida temporal desactivar la función que reporta el avance de carga de archivos.
Al 26 de octubre no se había reportado su explotación, de acuerdo con la firma SOC Prime.
Gobierno y universidades, los más expuestos
La revisión publicada en Milenio encontró que la Secretaría de Relaciones Exteriores (SRE) tenía un servidor ya actualizado mientras otros de la misma dependencia seguían sin parche.
La institución con más servicios PHP del país es la Universidad Nacional Autónoma de México (UNAM), con 820. Entre todas las universidades públicas de la lista suman más de 1,800, con versiones sin soporte como la 7.0 y la 8.1.
Colombia hizo un ejercicio parecido: su equipo de respuesta, Colcert, contó 8,699 servicios con PHP expuestos. Según la misma columna, en México no hay registro de una alerta equivalente de la autoridad.
Víctor Ruiz, fundador de la firma de ciberseguridad SILIKN, advirtió a Milenio que vienen ataques “sumamente fuertes” contra quienes no actualicen. “Será caótico, te lo puedo asegurar”, dijo.
Ruiz señaló que estas fallas “no distinguen recursos presupuestales”, por lo que una secretaría estatal y un ayuntamiento pequeño quedan igual de expuestos, y que “la ausencia de alertas no descarta una intrusión”.
La firma Sansec concluyó el 22 de octubre que un ataque masivo es menos probable de lo previsto, porque requiere conocer bien el servidor. Las pruebas de ataque que circulan funcionan sobre todo contra servidores Apache con PHP 8, el tipo más común.
Una empresa potosina, en un sitio de filtraciones
El grupo de ransomware Krybit publicó el 26 de octubre a Grupo Euro (grupoeuro.com.mx) en su sitio de filtraciones, según el rastreador Breachsense, que la clasifica en el sector energía. De acuerdo con publicaciones especializadas en ciberseguridad difundidas en redes sociales, se trata del grupo potosino de las gasolineras Gasomax, Importadora Euro y franquicias de Burger King.
El portal ransomware.live contabiliza 331 contraseñas expuestas vinculadas a la empresa, 70 de ellas críticas, y cita a la firma Hudson Rock, que registra a un empleado y cuatro usuarios infectados con programas que roban credenciales. Krybit se atribuye el ataque sin que hasta ahora la empresa lo haya confirmado, y no hay evidencia pública de que el caso esté ligado a PHP2Shell.
Krybit opera desde marzo de 2026 con un esquema de doble extorsión: roba información, cifra los archivos y amenaza con publicar los datos si no se paga. Sus exigencias van de 40 mil a 100 mil dólares, según la firma Halcyon. Breachsense le cuenta 165 víctimas, nueve de ellas en México.
En agosto, el Supremo Tribunal de Justicia del Estado (STJE) descartó un hackeo a sus sistemas tras la difusión en redes de información del Poder Judicial. En septiembre, la magistrada presidenta Lourdes Anahí Zarazúa Martínez dijo que la auditoría externa apuntaba más a una filtración que a una intrusión.
Argentina: datos de 172 mil estudiantes
Un actor en un foro de la dark web publicó muestras de una base de datos que dice provenir del Sistema Integral de Información Digital Educativa (SINIDE), del Ministerio de Educación de Argentina, con registros de unos 172 mil estudiantes.
Según el actor, cada registro tiene más de 80 campos —nombre, número de Documento Nacional de Identidad (DNI), domicilio, desempeño escolar y datos socioeconómicos—, además de información de unas 1,100 escuelas, 953 directores y credenciales de 21 cuentas de consultores. Afirmó que los datos estaban accesibles sin autenticación.
Analistas que siguen el caso advirtieron que la mayoría de los afectados probablemente son menores de edad, y que sus datos de identidad, hogar y escuela pueden usarse para fraudes y extorsiones dirigidas a sus familias.
La afirmación no está verificada y llegó horas después de otra contra la plataforma Moodle del mismo ministerio. En septiembre, el grupo N0n se atribuyó un ataque a la dependencia, y en julio de 2025 se ofrecieron a la venta 287 mil documentos del ministerio con DNI, correos y domicilios.
La corrección para PHP2Shell ya existe, pero cada institución tiene que instalarla en todos sus servidores y, si estuvo expuesta, cambiar contraseñas y claves y revisar sus registros hacia atrás. Para el usuario común no hay nada que hacer en su teléfono o computadora: la falla vive en los servidores, no en los dispositivos.
Con información de Milenio, CISA, Breachsense, Halcyon, SOC Prime y ransomware.live.
También lee: Auditoría descarta hackeo al Poder Judicial, pero no filtración
