Binadit · 3 noviembre 2026

Las cosas iban bien durante años, hasta que la IA empezó a investigar por qué las antiguas filtraciones son ahora un riesgo para su empresa.

La fuga en PHP estuvo allí durante unos 14 años. Una fuga en Linux 9 años. Mientras tanto, el software seguía girando y todo parecía ir bien. Hasta que la IA hizo la búsqueda de errores mucho más rápido. Esto cambia una suposición fija de muchos empresarios: lo que salió bien durante mucho tiempo no sigue saliendo bien por sí solo.

OpenBSD, 27 años

FFmpeg, 16 años

PHP, alrededor de 14 años

Linux, copia fallida, 9 años

Linux, CVE-2026-31695, casi 5 años

Viejos errores ahora están saliendo a la superficie

Este no es un software de hobby desconocido. Es un software en el que se ejecutan empresas, gobiernos y gran parte de la web. Miles de desarrolladores lo miraron y, sin embargo, estos errores persistieron durante años.

PHP: 14 años sin que pase nada

Las filtraciones que se conocieron como PHP2Shell, CVE-2026-109618 y CVE-2026-109619, habían estado en el código desde PHP 5.4 en 2012. Una variante limitada ya se encontró en 2024, pero no se consideró importante en ese momento. En agosto de 2026, los grupos de investigación encontraron los errores con la ayuda de la IA. Entonces fue rápido. En aproximadamente una semana, hubo ataques operativos contra WordPress y Drupal listos en la investigación. El 21 de octubre, llegaron las actualizaciones, y Cloudflare vio decenas de miles de intentos de ataque, más tarde millones, en 45 minutos. Palo Alto Networks contaba con 22,6 millones de instalaciones potencialmente vulnerables. En los Países Bajos, el gobierno, la atención médica y los sitios de noticias se desconectaron temporalmente en previsión de los parches. Desconectarse no significa que un sitio haya sido pirateado, a menudo fue una precaución. El 22 de octubre, el NCSC dijo que aún no había visto ningún abuso en los sitios web holandeses.

Linux: mismo patrón

Copy Fail, CVE-2026-31431, había estado en el kernel de Linux desde 2017 y se encontró con la ayuda de IA. Esto permite que un usuario ordinario se convierta en root en el sistema. CVE-2026-31695 estuvo en el kernel durante casi cinco años, y ahora se ha informado de un exploit en funcionamiento. ZcopyReaper, CVE-2026-43502, ha existido desde el kernel 4.17. Los errores recientes también son más notorios. Fragnesia, CVE-2026-46300, no es una fuga antigua, sino que entró a través de un parche anterior. Está en la lista de abusos activos de CISA desde el 28 de octubre. Allí está vinculado a PHP2Shell: primero a través del sitio web, luego el control total sobre el servidor.

Esto es solo el comienzo

La IA no solo hace que los investigadores sean más rápidos, sino también los atacantes. El propio OpenAI reconoce que las mismas capacidades pueden ayudar a los atacantes a crear rápidamente herramientas de ataque. El NCSC británico ya advirtió en mayo de una ola de actualizaciones urgentes en todo tipo de software, incluido el código abierto y SaaS. Nadie sabe qué software es el siguiente. Sin embargo, está claro que todavía hay mucho código antiguo que nunca se ha examinado tan a fondo como es posible ahora. Así que cuenten con más de este tipo de semanas.

Qué significa esto para ti como emprendedor

Tal vez pienses: mi sitio web ha estado funcionando durante diez años sin ningún problema. Eso es lo que gran parte de la web dijo sobre PHP. Una fuga puede significar que los datos del cliente están en la calle, que tu tienda web o aplicación se cae o que los atacantes derriban tu servidor. A esto le siguen las preguntas de los clientes, los costos de reparación, las ventas perdidas y, a veces, un informe al regulador. El daño a la reputación a menudo comienza con un mensaje de un cliente: ¿qué pasó con mis datos? Los atacantes no tienen que elegirte. En PHP2Shell, los intentos llegaron a millones. Así que no eres un objetivo porque seas alto, sino porque estás en línea.

Tu código y tu servidor son dos problemas diferentes.

Puede corregir fugas en PHP y Linux en el servidor. Los errores en tu propia web o aplicación están en tu código: un formulario que no comprueba la entrada, una página sin autorización, una clave en el repositorio. Ninguna actualización de un proveedor lo solucionará. No importa quién haya escrito el código. Ya sea que tenga diez años o se haya realizado la semana pasada, un atacante solo está verificando si está funcionando.

Lo que puede costar una fuga

En caso de seguridad insuficiente, la Autoridad Holandesa de Protección de Datos puede imponer una multa. Según el artículo 83 del RGPD, puede ascender a 10 millones de euros o al 2% de la facturación anual global, lo que sea mayor. En diciembre de 2025, los HAN fueron multados con 175.000 €. Un atacante había abusado de una filtración en un formulario web en 2021. Luego, el AP analizó la seguridad, como los derechos excesivos, el registro limitado y las contraseñas poco seguras.

Su obligación de esforzarse según el RGPD y NIS2

El RGPD y la Ley de Ciberseguridad no requieren perfección. Piden medidas apropiadas que coincidan con sus riesgos. El artículo 32 del RGPD también menciona un procedimiento para probar, evaluar y valorar las medidas a intervalos regulares. La Ley de Ciberseguridad está vigente desde el 15 de agosto de 2026 y, según el NCSC, afecta a más de 8.000 organizaciones. El artículo 21 menciona, entre otras cosas, el desarrollo seguro, la respuesta a las vulnerabilidades y la seguridad de la cadena de suministro. Si usted no cae bajo ella, un cliente que cae bajo ella todavía puede pedir una prueba. Un escaneo de código o un escaneo de servidor no es una marca de calidad. Sin embargo, un informe ayuda a mostrar lo que ha comprobado, lo que ha encontrado y lo que ha resuelto. Especialmente cuando algo sucede, es valioso.

Es hora de actuar

1. Compruebe qué versiones de PHP, Node.js y kernel se están ejecutando realmente. 2. Parchee y reinicie. 3. Reemplace el software sin soporte. PHP 8.2 finalizará el 31 de diciembre de 2026. 4. Busque signos de abuso. 5. Revise su propio código, incluidas las partes viejas que ya nadie está mirando. 6. Captura lo que has hecho. Utiliza nuestra autocomprobación gratuita como punto de partida.

Cómo ayuda Binadit

Con Binadit Code Scan comprobamos el código de tu web o aplicación, a precio fijo y sin cuenta. Con el análisis del servidor, también observamos el nivel de parche y la configuración. Manejamos su código con cuidado, firmamos un acuerdo de confidencialidad y un ser humano revisa cada hallazgo. Echa un vistazo a los paquetes.

Ver escaneo de código Binadit Haga escanear su sitio web Haga escanear su solicitud Ver el escaneo del servidor Autocomprobación gratuita Condiciones