.png)
Las dos vulnerabilidades críticas de PHP conocidas como PHP2Shell ya se estaban atacando antes de que existiera un parche. Una cadena de filtraciones previas a la divulgación coordinada dio ventaja a los atacantes, y el CSIRT Nacional emitió la alerta AVC26-00740 para que las organizaciones chilenas actualicen de inmediato.
Según la PHP Foundation, el origen de una de las fallas se detectó en 2024, durante una auditoría externa, pero no se encontró una vía de ataque concreta y la corrección quedó estancada por meses. La propia fundación reconoció que la demora "was a structural failure". En agosto de 2026, investigadores de Calif, OpenAI y Wiz reportaron por separado una ejecución remota de código con la misma causa.
La divulgación coordinada estaba prevista para el 22 de octubre, pero se filtró por partes. El 20 de octubre circularon en internet los identificadores CVE, lo que obligó a adelantar la publicación al día 21. Esa noche, Calif publicó por error un video de su prueba de concepto, y al día siguiente Chainguard liberó imágenes con la corrección más de seis horas antes de lo acordado, lo que permitió estudiar el parche antes de que los usuarios pudieran instalarlo.
Los atacantes iban incluso más adelantados. Amazon Threat Intelligence registró un intento de explotación en sus honeypots el 17 de octubre, desde una red de anonimización, y no sabe cómo obtuvo la información el atacante. Tras la publicación, watchTowr y Cloudflare vieron intentos masivos, aunque hasta ahora no se ha confirmado un compromiso exitoso.
Ese mismo 21 de octubre, la plataforma de despliegue Railway detectó actividad anómala en los sistemas que guardan las variables de entorno de sus clientes, donde suelen vivir claves de API y contraseñas. La empresa pausó los despliegues, rotó credenciales y revocó todos sus tokens de API, según su página de estado. De acuerdo con GitGuardian, Railway vincula el ataque a una ofensiva contra plataformas que busca comprometer a proveedores de IA. Ninguna fuente lo relaciona con PHP2Shell.
El CSIRT Nacional advierte que las fallas afectan a PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y que ya hay pruebas de concepto públicas. Para una empresa mediana, el riesgo está en los sitios corporativos, portales de clientes y tiendas en línea, muchas veces administrados por terceros. La lección de esta semana es que el plazo para parchar ya no se mide en días: hubo ataques antes de que existiera la corrección.
Railway agrega otra lección: los secretos guardados en plataformas de terceros quedan expuestos cuando el proveedor es atacado. Para los operadores de importancia vital y prestadores de servicios esenciales, un compromiso derivado de cualquiera de los dos casos debe reportarse según la Ley 21.663. Si hay datos personales en juego, se suma la Ley 21.719.
