Los programas que hacen funcionar las páginas web reciben arreglos periódicos, llamados actualizaciones, para corregir errores. El 21 de octubre se publicó uno de los más importantes del año: corrige una falla grave que alcanza a escuelas y universidades, y conviene atenderla sin alarma, pero sin demora.
Cada vez que abrimos una página web, una computadora en otro lugar, llamada servidor, arma lo que vemos y nos lo envía. Para hacerlo sigue un instructivo escrito en un lenguaje de programación (un idioma para darle órdenes a una máquina).
Uno de los más usados es PHP. El servicio de estadísticas W3Techs (2026) calcula que casi siete de cada 10 páginas que pudo revisar funcionan con PHP.
Entre ellas, muchas páginas institucionales y Moodle, la plataforma de aulas virtuales donde el profesorado publica materiales y el estudiantado entrega tareas.
La falla, bautizada “PHP2Shell”, consiste en dos errores en el corazón mismo de PHP. Casi todos los errores de programación (los descuidos en ese instructivo) apenas causan molestias.
Los de PHP2Shell son otra cosa: pueden permitir que alguien con malas intenciones, a distancia y sin usuario ni contraseña, le dé órdenes al servidor. Con eso podría borrar o alterar lo que guarda, como calificaciones o expedientes, o dejarlo fuera de servicio.
Ya ocurrió algo parecido con otra falla de PHP, descubierta en 2024. El arreglo salió de inmediato, pero a principios de 2025 unos atacantes entraron a organizaciones de Japón que no habían actualizado, incluidas algunas instituciones educativas, para robar contraseñas, según la empresa de tecnología Cisco (2025). Con ellas, un intruso puede volver cuando quiera y pasar a otros sistemas.
A esto se suma que encontrar fallas como estas es cada vez más fácil. La propia PHP2Shell fue descubierta por equipos que trabajaban con inteligencia artificial, entre ellos el de la empresa Wiz (2026).
Esas mismas herramientas están al alcance de quien quiera atacar, y hoy cuestan poco porque, como señalé en este espacio en julio (Robles Martínez, 2026), buena parte de su costo la pagan los inversionistas que inflan la burbuja de la inteligencia artificial.
Ahora bien, que una institución use PHP no significa que alguien ya se haya metido a sus sistemas. Según la empresa de seguridad Sansec (2026), aprovechar la falla exige conocer a detalle el sistema atacado y que se cumplan ciertas condiciones.
Es como una cerradura defectuosa: descubrir que puede abrirse no demuestra un robo, pero es razón suficiente para repararla pronto. En las computadoras, esa reparación se llama actualizar. Lo delicado es que no todos los servidores pueden recibirla.
Otra empresa de seguridad, Bitsight (2026), encontró que dos de cada tres servidores que pudo revisar tienen un PHP tan antiguo que ya no recibe el arreglo oficial.
En esos casos hay que pasar a un PHP reciente y ajustar lo que deje de funcionar, lo que lleva más trabajo y más tiempo. Se cambia la cerradura, no la puerta: el programa, no la computadora.
En una escuela o una universidad hay mucho que cuidar. Sus sistemas guardan nombres, CURP, domicilios y calificaciones, a veces también datos bancarios para pagos o becas, y de ellos dependen las inscripciones, las clases y las titulaciones.
Además, actualizar no es oprimir un botón: antes se guardan copias de la información y se prueba que nada deje de funcionar. Ese trabajo lo hacen las áreas de cómputo, casi siempre sin que nadie lo note, y merece reconocimiento.
Por eso la seguridad informática necesita la misma cultura de prevención que en México tenemos ante los sismos. Aprendimos que un temblor no se puede evitar, pero sí podemos estar preparados: sabemos dónde están las salidas, quién coordina la evacuación y lo ensayamos en simulacros periódicos.
En lo digital, prepararse empieza por saber qué sistemas tiene la institución y si están al día. Después hay que actualizar, empezando por lo que cualquiera ve desde internet, como la página principal o el aula virtual.
Lo que no pueda actualizarse pronto se protege mientras se reemplaza, limitando quién puede usarlo. Y, como en un simulacro, conviene ensayar qué hacer si un sistema se cae en plena inscripción o si se filtran datos.
Para ayudar no hace falta saber de computación. Quien trabaja en una coordinación, una secretaría o una dirección puede hacer dos preguntas a quien se encargue de sus sistemas, sea el área de cómputo o un proveedor externo: ¿alguna de nuestras páginas o plataformas usa PHP? De ser así, ¿ya se instaló la actualización del 21 de octubre? Si quien responde es un proveedor, vale la pena pedirle la confirmación por escrito.
Basta mencionar “PHP2Shell” para que el personal técnico sepa de qué se trata. Y cuando haga falta detener un sistema unas horas, el respaldo administrativo es decisivo, porque esas decisiones no son solo técnicas.
No podemos elegir cuándo tiembla, pero sí qué tan preparados nos encuentra el sismo, y con las computadoras pasa lo mismo. Fallas como esta seguirán apareciendo, pero una actualización a tiempo puede convertir un posible desastre en un simple trámite. Esta vez todavía hay margen para actuar, y empezar es tan sencillo como preguntar hoy si nuestros sistemas ya están al día.
