Portales municipales en alerta: “PHP2Shell” obliga a revisar los sitios web de las instituciones

Los portales donde la ciudadanía consulta servicios, paga arbitrios, descarga formularios o sigue las sesiones de su ayuntamiento corren, en su gran mayoría, sobre las mismas tecnologías que hoy están en alerta mundial: PHP mueve cerca del 70% de los sitios web, y dos fallas críticas en ese lenguaje, bautizadas “PHP2Shell”, permitirían tomar un servidor sin iniciar sesión.

Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, con severidad 9.2 sobre 10, estuvieron escondidas más de una década hasta que modelos de inteligencia artificial, GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google, con investigadores de Wiz y Calif, ayudaron a descubrirlas y convertirlas en un exploit funcional.

La Fundación PHP publicó parches de emergencia el 21 de octubre de 2026 (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35). La divulgación se adelantó un día por una filtración en un foro de hackers, y desde entonces Cloudflare reportó millones de intentos de explotación. La NSA y el FBI de Estados Unidos pidieron parchear de inmediato o desconectar los sitios.

En Europa, sitios de gobiernos de Alemania, Francia y Finlandia se desconectaron por prevención. Para un ayuntamiento, un portal comprometido puede significar servicios caídos, datos de munícipes expuestos y trámites detenidos; la prevención, en este caso, es una simple actualización que muchos proveedores de hosting ya aplicaron de forma automática.

La recomendación para cada institución es verificar hoy con su proveedor o su equipo técnico si el servidor ya tiene el parche. La transparencia también es digital: un portal seguro es parte del servicio que la ciudadanía espera de su gobierno local.