Si tienes empresa, es posible que estos días te haya llegado un aviso de tu proveedor informático o de tu propio ciberseguro: un fallo grave en PHP, la tecnología con la que funcionan la mayoría de las webs, y la recomendación de actualizar cuanto antes. Lo llamativo no es solo el fallo, sino cómo se ha descubierto: con ayuda de la inteligencia artificial. Desde Comin Correduría de Seguros te contamos qué ha pasado, por qué marca un antes y un después en la relación entre ciberseguridad e inteligencia artificial y qué puedes hacer para proteger tu negocio.
¿Qué ha pasado con PHP2Shell y por qué afecta a tu empresa?
El 21 de octubre de 2026 se publicaron dos fallos críticos en PHP, conocidos como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Sobre ellos, tres datos ayudan a entender su alcance:
- Llevaban más de una década escondidos. Afectan a todas las versiones de PHP publicadas en los últimos diez años, desde la 5.4.
- PHP está detrás de 7 de cada 10 webs del mundo, incluidas las hechas con WordPress, que es lo que usan muchas pymes.
- Permiten tomar el control del servidor sin contraseña y leer información de su memoria, como claves o datos de acceso.
¿Quién los encontró? Un equipo de investigadores de la empresa de ciberseguridad Wiz, trabajando con modelos de inteligencia artificial. Los detectaron en agosto, avisaron a los responsables de PHP y, tras dos meses de trabajo coordinado, el parche salió el 21 de octubre. Aun así, según Kaspersky, los primeros intentos de ataque se vieron incluso antes de que hubiera solución.
La única corrección completa es actualizar PHP en el servidor. No basta con actualizar WordPress o los plugins: hay que pedírselo a la empresa de hosting o al proveedor que gestione la web.
¿Cómo está cambiando la inteligencia artificial los ciberataques?
La relación entre ciberseguridad e inteligencia artificial tiene dos caras: la IA es una herramienta, y como cualquier herramienta, sirve para defender y para atacar. Lo que ha cambiado es la velocidad y la calidad de los ataques. Estas son las tres formas en que ya lo estamos viendo:
- Emails de phishing perfectos. Se acabaron los correos con faltas de ortografía que delataban la estafa. La IA redacta mensajes impecables, personalizados con tu nombre, tu cargo o tus proveedores reales.
- Voz y vídeo clonados. Con unos segundos de audio, por ejemplo de un vídeo en redes, se puede imitar la voz de una persona. Es la nueva versión del fraude del CEO: alguien se hace pasar por el jefe y pide una transferencia urgente.
- Ataques automáticos a webs. En cuanto se publica un fallo como PHP2Shell, hay programas que rastrean internet buscando webs sin actualizar. No eligen a su víctima: atacan a todas las que encuentran.
Las cifras acompañan. Según INCIBE, en 2025 se gestionaron en España 122.223 incidentes de ciberseguridad, un 26 % más que el año anterior. El fraude online supuso cuatro de cada diez casos, con el phishing a la cabeza.
Un caso real: la voz del director era «exactamente igual»
INCIBE documentó el caso de una empresa española en la que varios empleados recibieron una llamada de uno de sus principales directivos para una reunión telefónica. En ella, el supuesto directivo les explicó que había una auditoría inminente y que, para superarla, debían comprar una máquina. Les dio instrucciones para hacer la transferencia y la hicieron en el acto. Días después, al hablar con el directivo real, descubrieron el engaño. Uno de los empleados lo resumió así: la voz era exactamente igual a la de su jefe.
No hubo ningún virus ni ningún ordenador hackeado. Bastó una voz clonada con IA y una petición creíble. Por eso este tipo de fraude es tan peligroso, y por eso es tan importante saber si tu seguro lo cubre (te lo explicamos más abajo).
¿Qué está por venir en ciberseguridad e inteligencia artificial?
PHP2Shell es una señal de lo que viene. Si la IA es capaz de encontrar en semanas un fallo que nadie había visto en más de diez años, es razonable pensar que saldrán a la luz muchos más, y que el tiempo entre que se publica un fallo y que se intenta aprovechar será cada vez más corto. Para una empresa, eso se traduce en tres cosas:
- Actualizar deja de ser opcional. Una web o un programa sin actualizar es una puerta abierta.
- Ser pequeño no protege. Los ataques automáticos no distinguen entre una multinacional y un comercio de Zaragoza.
- El eslabón más débil sigue siendo la confianza. Cuanto más creíbles sean las suplantaciones, más importante será tener procedimientos claros para los pagos.
La buena noticia es que la IA también trabaja del lado de la defensa: el propio PHP2Shell lo encontraron investigadores de seguridad, que avisaron a los responsables de PHP para que lo corrigieran.
¿Qué puede hacer una pyme de Zaragoza desde hoy?
No hace falta ser una gran empresa ni tener un departamento de informática para reducir mucho el riesgo. Estas medidas son sencillas y muy eficaces (varias son las que recomienda el propio INCIBE):
- Pide a tu proveedor de hosting que confirme que PHP está actualizado a una versión corregida, y mantén al día la web, los plugins y los equipos.
- Ningún pago solo por teléfono. Confirma cualquier transferencia por un segundo canal (email o en persona) y, en importes altos, que la autoricen dos personas.
- Desconfía de la urgencia. Una petición extraña, aunque venga de alguien de confianza, se verifica directamente con esa persona.
- Forma al equipo, sobre todo a quien gestiona pagos, facturas y proveedores.
- Copias de seguridad frecuentes y comprobadas: que existan y que se puedan restaurar.
Si el ataque ya se ha producido, aquí tienes una guía de qué hacer tras un ciberataque en tu empresa.
¿Cubre el ciberseguro los ataques hechos con inteligencia artificial?
Un seguro de ciberseguridad está pensado precisamente para estos riesgos. En general, puede incluir coberturas como:
- Asistencia técnica para contener el ataque y recuperar sistemas y datos.
- Pérdidas por la paralización de la actividad mientras la empresa no puede trabajar.
- Responsabilidad civil frente a clientes o terceros si se filtran sus datos, incluida la relacionada con la protección de datos (RGPD).
- Asesoramiento legal y de comunicación para gestionar la crisis.
Ahora bien, hay un punto delicado que conviene revisar con lupa: las transferencias hechas por engaño. En el fraude del CEO, técnicamente es la propia empresa la que ordena el pago, y por eso no todas las pólizas lo tratan igual. Hay ciberseguros en el mercado que excluyen expresamente las transferencias por suplantación de identidad o ingeniería social; otros las incluyen con un límite propio, y otros permiten añadirlas como cobertura específica.
Cada póliza es distinta, así que la pregunta no es solo «¿tengo ciberseguro?», sino «¿qué cubre exactamente el mío si mañana me llaman con la voz de mi jefe?».
¿Por qué revisarlo con una correduría como Comin?
Porque en un ciberseguro la diferencia está en la letra pequeña. Como correduría independiente, en Comin no vendemos el producto de una compañía: comparamos entre más de 25 aseguradoras, revisamos coberturas, límites y exclusiones, y te explicamos con claridad qué estás contratando. Si ya tienes ciberseguro, lo revisamos contigo; si no lo tienes, buscamos el que encaja con tu actividad. Puedes ver más en nuestra guía de seguros de ciberseguridad para pymes en Zaragoza o consultar cuánto cuesta un seguro de ciberseguridad. Y si un día hay un incidente, te acompañamos en todo el proceso.
En resumen
En ciberseguridad e inteligencia artificial todo va más rápido, y en los dos sentidos: se descubren fallos que llevaban años escondidos, y los atacantes engañan mejor y más rápido. Mantener todo actualizado, verificar los pagos por un segundo canal y saber qué cubre tu ciberseguro son hoy las tres defensas más sensatas para cualquier empresa.
En Comin, correduría independiente en Zaragoza desde 1927, comparamos entre más de 25 compañías para encontrar el seguro que mejor encaja contigo. Cuéntanos tu caso y revisamos tu ciberseguro sin compromiso.
Comentarios recientes