Sin autenticación, es posible ejecutar comandos maliciosos en servidores… existe preocupación por filtraciones masivas si están conectadas a bases de datos
![Logotipo de la Comisión de Protección de Datos [Foto=Yonhap News]](https://image.ajunews.com/content/image/2026/10/22/20261022161934316164.jpg)
La Comisión de Protección de Datos Personales ha instado a organismos públicos y empresas privadas, en su calidad de responsables del tratamiento de datos personales, a reforzar las medidas de seguridad para prevenir filtraciones de información derivadas de la explotación de vulnerabilidades en PHP.
La Comisión comunicó el 22 de octubre que las instituciones y empresas que operan servicios web deben implementar de manera inmediata actualizaciones de seguridad relacionadas con vulnerabilidades en PHP, así como medidas de protección tales como el control de acceso a bases de datos (BD).
PHP2Shell es una vulnerabilidad que permite a los atacantes ejecutar comandos maliciosos arbitrarios en un servidor web sin necesidad de autenticación o procedimientos de inicio de sesión adicionales. El Ministerio de Ciencia y Tecnología de la Información y Telecomunicaciones, junto con la Agencia de Promoción de Internet de Corea del Sur (KISA), han proporcionado orientaciones sobre cómo hacer frente a esta vulnerabilidad.
PHP es un software ampliamente utilizado en el desarrollo y operación de servicios web. Si se explota la vulnerabilidad, el riesgo trasciende la mera comprometer el servidor web, pudiendo resultar en la filtración de datos personales de usuarios almacenados en bases de datos conectadas.
En particular, existe riesgo de que los atacantes accedan a grandes volúmenes de información personal si herramientas de administración de BD basadas en PHP, como phpMyAdmin, están expuestas al exterior o si se han otorgado permisos de acceso excesivos a la base de datos.
La Comisión de Protección de Datos ha enfatizado que, en primer lugar, deben verificarse las versiones de los sistemas que utilizan PHP y aplicarse los parches de seguridad más recientes. Se debe eliminar los servicios web no utilizados y restringir el acceso directo desde internet a herramientas de administración de BD como phpMyAdmin, además de actualizar el software relacionado a su versión más reciente. Asimismo, se debe limpiar archivos de configuración innecesarios y minimizar los permisos de acceso a la BD de datos personales de las cuentas de servicio web.
Debe realizarse una revisión para detectar accesos anómalos a la BD de datos personales, como consultas masivas o exportaciones, y deben fortalecerse tanto la detección y bloqueo de comportamientos sospechosos como la gestión de registros de acceso. Los sistemas desarrollados u operados por terceros, los proveedores de servicios subcontratados y el software PHP utilizado en entornos de hospedaje también deben ser objeto de verificación.
Yang Chung-sam, Director Ejecutivo de la Comisión de Protección de Datos Personales, declaró: "Esta vulnerabilidad no solo representa un riesgo de comprometer el sitio web en sí, sino que existe la preocupación de que resulte en un daño de gran escala con la filtración de datos personales de numerosos usuarios almacenados en bases de datos conectadas. Junto con las actualizaciones de seguridad, es imperativo reforzar los sistemas de gestión, incluyendo verificaciones de accesos sospechosos, para asegurar que la información personal de los ciudadanos no se vea comprometida."
* Este artículo ha sido traducido por IA.