Alertas del CSIRT: qué hacer ante PHP2Shell y los parches de Fortinet

Entre el 21 y el 23 de octubre de 2026, el CSIRT Nacional de la Agencia Nacional de Ciberseguridad (ANCI) publicó siete alertas de vulnerabilidad crítica en pocos días. Dos de ellas tocan tecnologías que usan miles de empresas chilenas todos los días: PHP, el lenguaje con el que funcionan sitios como los hechos en WordPress, y los equipos de seguridad perimetral de Fortinet. En este artículo te explicamos qué dicen las alertas del CSIRT, a quién afectan y qué pasos concretos conviene dar esta semana.

Qué publicó el CSIRT Nacional

Las alertas fueron emitidas con la clasificación TLP:CLEAR, es decir, de difusión pública. Están dirigidas en primer lugar a prestadores de servicios esenciales y operadores de importancia vital, pero sus recomendaciones aplican a cualquier organización que use los productos mencionados. Puedes revisarlas en la sección de alertas del CSIRT Nacional.

Los productos involucrados en esa tanda fueron PHP, Fortinet, certificados de la autoridad eMudhra, Node.js, GitLab, Oracle Java y equipos de comunicaciones unificadas de Cisco. Para una pyme o una empresa mediana, las dos que más impacto suelen tener son las de PHP y Fortinet, así que nos concentramos en ellas.

PHP2Shell: la falla que afecta a servidores web (AVC26-00740)

La alerta AVC26-00740 describe dos vulnerabilidades críticas en PHP, identificadas como CVE-2026-109618 y CVE-2026-109619 y conocidas como PHP2Shell. Según el CSIRT, permiten que un atacante remoto, sin usuario ni contraseña, ejecute código en el servidor web. Afectan a implementaciones muy comunes, como PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y ya se publicaron pruebas de concepto, lo que aumenta el riesgo de ataques.

El equipo de PHP liberó las correcciones el 21 de octubre. Las versiones seguras son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones 8.1 y anteriores ya no tienen soporte oficial, por lo que la recomendación es migrar a una rama vigente. El propio fabricante advierte que las mitigaciones temporales no dan protección completa: la única solución real es actualizar. El detalle técnico de la alerta está replicado por el equipo de Ciberseguridad de la Universidad de Concepción.

Actualizaciones críticas de Fortinet (AVC26-00741)

El 22 de octubre Fortinet publicó nuevas versiones de FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator, y pidió aplicarlas como un cambio prioritario. El CSIRT replicó el aviso en la alerta AVC26-00741. Por ejemplo, en FortiOS las versiones corregidas son 8.0.2, 7.6.8, 7.4.13 y 7.2.14.

Un detalle importante: según lo informado por la prensa especializada, Fortinet anunció que publicará los identificadores CVE de estas fallas recién en su ciclo de parches del 10 de noviembre. Eso significa que muchos escáneres de vulnerabilidades no van a marcar estos equipos como riesgosos hasta esa fecha, aunque el problema ya existe.

Por qué te importa aunque no seas un servicio esencial

Que una alerta esté dirigida a servicios esenciales no quiere decir que el resto de las empresas esté a salvo. Los ataques automatizados no distinguen tamaño ni rubro: buscan servidores y firewalls sin parchar en todo internet.

Además, el informe de amenazas del primer semestre de 2026 de la ANCI muestra que el uso de credenciales válidas fue la técnica de acceso inicial en el 78% de los incidentes confirmados (puedes ver el Panorama de amenazas en Chile). Un servidor web comprometido o un firewall vulnerado es justamente una vía para robar esas credenciales y moverse dentro de la red.

Si quieres repasar el marco legal detrás de estas alertas, revisa nuestro artículo sobre la Ley Marco de Ciberseguridad (Ley 21.663).

Qué significa para tu empresa

Estas son las acciones que recomendamos priorizar, en este orden:

1. Haz un inventario rápido

• Lista los sitios web, intranets y aplicaciones que corren en PHP, incluidos WordPress, tiendas en línea y sistemas internos.
• Identifica todos los equipos Fortinet (firewalls FortiGate, FortiManager, FortiMail, FortiAuthenticator) y anota su versión actual.
• Si tu sitio está en un hosting compartido, pregunta a tu proveedor qué versión de PHP usa y cuándo aplicará la corrección.

2. Actualiza primero lo que está expuesto a internet

• Lleva PHP a una de las versiones corregidas. Si usas PHP 8.1 o anterior, planifica la migración a una versión con soporte.
• Actualiza FortiOS y los demás productos Fortinet a las versiones indicadas por el fabricante, empezando por los equipos de borde.
• Antes de actualizar, respalda la configuración de cada equipo para poder volver atrás si algo falla.

3. Reduce la superficie de ataque mientras tanto

• Restringe la administración de los firewalls (HTTPS y SSH) a direcciones IP de confianza o desactívala en las interfaces externas, como recomienda el CSIRT.
• Verifica que FortiManager no sea accesible desde internet.
• Activa la autenticación multifactor en los accesos remotos y en las cuentas de administración.

4. Revisa registros y respaldos

• Revisa los logs del servidor web, de PHP y del firewall en busca de solicitudes extrañas, errores de memoria o accesos administrativos que nadie reconozca.
• Comprueba que tus respaldos estén al día, cifrados y que se puedan restaurar. Si algo sale mal, son tu plan B.

5. Deja un proceso, no solo un parche

Esta semana no será la última. Lo que realmente protege a una empresa es tener a alguien responsable de seguir las alertas del CSIRT, evaluar qué equipos están afectados y aplicar las actualizaciones en ventanas de mantención planificadas. Un servicio de mantenimiento y actualización de software o una mesa de ayuda con procedimientos de parchado hacen que esto ocurra todas las semanas y no solo cuando sale una noticia.

Preguntas frecuentes

¿Mi sitio WordPress está afectado por PHP2Shell?

Puede estarlo, porque WordPress funciona sobre PHP. Lo que importa es la versión de PHP del servidor y cómo está instalado. Pídele a tu proveedor de hosting o a tu equipo TI que confirme que el servidor ya usa una versión corregida.

¿Qué hago si no puedo actualizar Fortinet de inmediato?

El CSIRT recomienda restringir las interfaces de administración a direcciones IP de confianza o deshabilitarlas en las interfaces externas, y revisar los registros en busca de accesos inusuales. Son medidas transitorias: la actualización debe programarse lo antes posible.

¿Dónde veo las alertas oficiales?

En el sitio del CSIRT Nacional, que publica alertas de vulnerabilidades, campañas de fraude y un boletín semanal con el resumen de la semana.

¿Estas alertas son obligatorias para mi empresa?

Las obligaciones de reporte y gestión de la Ley Marco de Ciberseguridad recaen sobre los servicios esenciales y operadores de importancia vital. Para el resto de las empresas no son una obligación legal, pero sí una buena guía de qué parchar primero.

¿Necesitas ayuda para revisar tu infraestructura?

En MG Technologies administramos firewalls Fortinet, pfSense y Mikrotik, mantenemos servidores y equipos actualizados y gestionamos respaldos cifrados para empresas en Santiago. Si no tienes claro si tus sistemas están expuestos a estas fallas, conversemos: conoce nuestro servicio de outsourcing TI o escríbenos y revisamos tu caso.