En las últimas semanas se juntaron varias alertas de seguridad importantes al mismo tiempo: una falla crítica en PHP (el lenguaje con el que funcionan millones de sitios web), dos fallas graves en Next.js (una herramienta muy usada para crear aplicaciones web), una ronda urgente de actualizaciones de Fortinet y el parche mensual de SAP con cuatro fallas críticas. Si tu empresa tiene página web, tienda en línea, correo corporativo, firewall o un ERP, este artículo es para ti.
Lo escribimos pensando en directores, gerentes y responsables de área que no son técnicos. No necesitas saber programar para entenderlo. Al final encontrarás una lista de medidas concretas para empezar hoy mismo.
📷 [IMAGEN 1 — Portada. Texto alternativo sugerido: “Alerta de vulnerabilidades críticas octubre 2026 en PHP, Next.js, Fortinet y SAP”]
Resumen en 30 segundos
- PHP2Shell: dos fallas críticas en PHP permiten a un atacante tomar control de un servidor web sin usuario ni contraseña. Ya se están explotando. La solución es actualizar PHP a las versiones 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
- Next.js: el 14 de octubre se corrigieron dos fallas críticas y una alta. Las aplicaciones deben actualizarse a Next.js 16.4.1 o 15.5.28.
- Fortinet: el 22 de octubre publicó actualizaciones de seguridad para FortiOS (FortiGate), FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator. Los detalles técnicos se publicarán el 10 de noviembre, así que conviene actualizar antes de esa fecha.
- SAP: el parche de octubre corrigió cuatro fallas críticas (una con la calificación máxima de 10 sobre 10). No hay confirmación oficial de un ataque nuevo “de día cero”; lo que circula son rumores, pero sí hay parches que aplicar.
- La lección: el tiempo entre que se descubre una falla y que los delincuentes la usan ya se mide en horas, no en semanas.
Primero lo básico: ¿qué es una vulnerabilidad y por qué debería importarte?
Imagina que tu empresa es un edificio. Una vulnerabilidad es una puerta o ventana que alguien dejó mal cerrada por error de fábrica. Nadie la abrió todavía, pero existe. Cuando el fabricante la descubre, envía un “parche” o actualización, que es básicamente el cerrajero que viene a arreglarla.
El problema es que, en cuanto el fabricante anuncia la falla, los delincuentes también se enteran. Y hoy, con ayuda de la inteligencia artificial, pueden aprender a abrir esa puerta en cuestión de horas. Según FortiGuard Labs, el laboratorio de investigación de Fortinet, los atacantes pueden empezar a explotar una falla crítica en tan solo 24 a 48 horas después de que se hace pública.
Por eso no basta con “tener” seguridad. Hay que mantenerla al día.
1. PHP2Shell: la falla que afecta a millones de sitios web
¿Qué pasó?
PHP es el lenguaje de programación con el que funcionan muchísimos sitios web, incluidos los hechos en WordPress, tiendas en línea, portales de clientes, intranets y paneles de administración. El 21 de octubre de 2026, los desarrolladores de PHP publicaron una actualización de emergencia para corregir dos fallas críticas identificadas como CVE-2026-109618 y CVE-2026-109619, a las que la comunidad bautizó como “PHP2Shell”.
En palabras sencillas: un atacante puede enviar una petición especialmente preparada a tu sitio web y, sin necesidad de usuario ni contraseña, ejecutar instrucciones dentro de tu servidor. Es decir, puede tomar el control.
¿Por qué es tan grave?
- Afecta a casi todas las versiones de PHP, desde la 5.4 hasta la 8.5.11.
- Se filtró antes de tiempo. Los detalles se hicieron públicos antes de que existiera la solución, y Amazon detectó intentos de ataque desde el 17 de octubre, cuatro días antes del parche.
- Los ataques se multiplicaron en horas. Cloudflare reportó que los intentos pasaron de decenas de miles a millones en menos de un día.
- Hay millones de servidores expuestos. Palo Alto Networks identificó más de 22.6 millones de instancias de PHP potencialmente vulnerables en internet.
- Ya está en la lista de fallas explotadas. El 26 de octubre, la agencia de ciberseguridad de Estados Unidos (CISA) la agregó a su catálogo de vulnerabilidades que se están explotando activamente.
Ojo: hay una tercera falla todavía sin parche
El 23 de octubre, PHP avisó de otra falla relacionada (CVE-2026-115560) que todavía no tiene corrección. Afecta solo a configuraciones poco comunes y no se han reportado ataques, pero mientras llega el parche, PHP recomienda desactivar una función llamada “session upload progress”. Tu proveedor de hosting o tu equipo de TI sabrá cómo hacerlo.
¿Qué tiene que ver Fortinet con PHP2Shell?
Dos cosas importantes. Primero, una buena noticia: Fortinet confirmó que FortiOS (el sistema de los firewalls FortiGate), FortiManager, FortiAnalyzer, FortiWeb, FortiMail y la mayoría de sus productos no están afectados por PHP2Shell. Segundo, y más relevante para tu empresa: FortiGuard Labs ya publicó “parches virtuales” y firmas de prevención de intrusiones (IPS) para estas dos fallas. Eso significa que un FortiGate con su suscripción de seguridad vigente puede detectar y bloquear los intentos de ataque contra tus servidores web mientras tu equipo los actualiza.
📷 [IMAGEN 2 — Ilustración de un firewall bloqueando un ataque a un servidor web. Texto alternativo sugerido: “FortiGate bloquea ataques PHP2Shell con parches virtuales IPS”]
2. Next.js: dos fallas críticas en aplicaciones web modernas
¿Qué es Next.js?
Next.js es una herramienta que usan los desarrolladores para construir sitios y aplicaciones web modernas. Si tu empresa tiene un portal de clientes, una plataforma de pedidos o un sitio desarrollado recientemente a la medida, es posible que esté hecho con Next.js. Pregúntale a tu proveedor de desarrollo.
¿Qué pasó?
El 14 de octubre de 2026, el equipo de Next.js publicó una actualización urgente que corrige tres problemas:
- Dos fallas críticas (calificación 9.5 de 10) que permiten a un atacante ejecutar código en el servidor sin iniciar sesión. Una de ellas se activa a través de imágenes SVG manipuladas.
- Una falla alta que permite “tirar” la aplicación, es decir, dejarla fuera de servicio.
La solución es actualizar a Next.js 16.4.1 o 15.5.28. Además, Node.js (el motor sobre el que corre Next.js) publicó sus propias correcciones de seguridad el 21 de octubre.
Un detalle importante
Al principio, dos de estas fallas no tenían número de identificación oficial, por lo que algunas herramientas automáticas de revisión no las detectaban. Es decir, tu sistema podría decir que “todo está bien” cuando no es así. Por eso conviene que un humano revise las versiones instaladas.
3. Fortinet: actualización urgente antes del 10 de noviembre
¿Qué anunció Fortinet?
El 21 de octubre de 2026, Fortinet anunció una “actualización de endurecimiento de seguridad” y al día siguiente publicó nuevas versiones para sus productos principales. Las fallas corregidas son de severidad crítica y alta, y fueron encontradas por el propio Fortinet usando inteligencia artificial en sus pruebas internas.
Fortinet decidió no publicar todavía los detalles técnicos. Lo hará el 10 de noviembre de 2026. Esta es una práctica responsable: le da a sus clientes un margen para actualizar antes de que los delincuentes sepan exactamente dónde buscar. Pero ese margen se acorta cada día, porque los atacantes pueden comparar la versión vieja con la nueva para adivinar qué se corrigió.
Versiones a las que debes actualizar
| Producto | Rama 8.0 | Rama 7.6 | Rama 7.4 | Rama 7.2 |
|---|---|---|---|---|
| FortiOS (FortiGate) | 8.0.2 | 7.6.8 | 7.4.13 | 7.2.14 |
| FortiManager | 8.0.2 | 7.6.8 | 7.4.12 | 7.2.13 |
| FortiAnalyzer | 8.0.2 | 7.6.8 | 7.4.12 | 7.2.13 |
| FortiMail | 8.0.2 | 7.6.7 | 7.4.9 | Migrar a 7.4 o superior |
FortiAuthenticator se corrige en las versiones 8.0.4 y 6.6.11. FortiSASE se actualiza automáticamente.
FortiMail: atención especial
Si tu empresa usa FortiMail (el filtro de correo de Fortinet), esto es prioritario. Desde el 1 de octubre se conoce una falla crítica (CVE-2026-104286, calificación 9.8) que ya fue usada en ataques reales. Las versiones de FortiMail de la tabla anterior la corrigen. Si no puedes actualizar de inmediato, Fortinet recomienda desactivar temporalmente la función de cifrado IBE y no dejar el correo web expuesto a internet.
FortiSIEM y equipos con versiones antiguas
- FortiSIEM 7.5.0 tiene una falla crítica (9.8) con código de ataque ya publicado. Hay que actualizar a la 7.5.1 o superior.
- FortiOS 7.2 llegó al fin de su soporte el 30 de septiembre de 2026, y la 7.0 un año antes. Si tus FortiGate siguen en esas versiones, instala la 7.2.14 ahora y planea la migración a 7.4 o 7.6. Algunos modelos antiguos ya no pueden subir de versión: en ese caso es momento de planear su reemplazo.
📷 [IMAGEN 3 — Calendario con la fecha 10 de noviembre marcada. Texto alternativo sugerido: “Fecha límite para actualizar Fortinet antes del 10 de noviembre de 2026”]
4. SAP: qué es rumor y qué es real
En los últimos días han circulado comentarios sobre posibles ataques a SAP. Queremos ser claros: al 27 de octubre de 2026 no hay confirmación oficial de un nuevo ataque “de día cero” contra SAP. Lo que sí es real, y más importante, es esto:
- Parche de octubre (13 de octubre): SAP corrigió cuatro fallas críticas. La más grave, con calificación 10 de 10, está en una herramienta para desarrolladores en la nube (SAP Cloud SDK for Python) y permite robar credenciales. Las otras afectan a SAP NetWeaver Visual Composer y a SAP S/4HANA (ambas 9.9) y a SAP Manufacturing Integration and Intelligence (9.1).
- “OVERPASS”, el antecedente de septiembre: el mes pasado SAP corrigió una falla de calificación máxima en el núcleo de sus sistemas. Los investigadores estimaron que más de 10,000 sistemas SAP expuestos a internet estaban en riesgo.
¿Y si uso SAP Business One? Las fallas críticas de octubre corresponden a otros productos de SAP, no a Business One. Aun así, la regla general aplica igual: mantén tu sistema actualizado, no lo expongas directamente a internet y protege el acceso remoto con VPN y doble factor de autenticación. Tu ERP guarda la información más valiosa de la empresa: clientes, facturación, inventario y finanzas.
¿Qué tienen en común todas estas noticias?
Aunque son productos distintos, el patrón es el mismo, y vale la pena entenderlo porque se va a repetir:
- Los ataques llegan cada vez más rápido. En el caso de PHP2Shell, los intentos de ataque empezaron incluso antes de que existiera la solución.
- La inteligencia artificial acelera a ambos lados. Fortinet usó IA para encontrar sus propias fallas antes que los delincuentes; los delincuentes la usan para crear ataques más rápido y para combinar varias fallas pequeñas en una grande.
- Actualizar ya no es suficiente por sí solo. Siempre habrá un periodo entre que se descubre la falla y que tu equipo instala el parche. Lo que hagas para protegerte durante ese periodo marca la diferencia.
- Lo expuesto a internet es lo primero que atacan. Sitios web, correo, VPN, paneles de administración y ERPs accesibles desde fuera son el objetivo número uno.
Cómo te ayuda Fortinet a cerrar esa brecha
La seguridad no depende de un solo producto, sino de capas que se cuidan entre sí. Así funcionan las soluciones de Fortinet frente a escenarios como los de este mes:
- FortiGate (firewall de nueva generación): con su servicio de prevención de intrusiones (IPS), aplica “parches virtuales” que bloquean ataques conocidos, como PHP2Shell, antes de que lleguen a tus servidores. Es tu protección durante el tiempo en que tu equipo actualiza.
- FortiWeb (firewall para aplicaciones web): protege específicamente tus sitios, tiendas en línea y portales, filtrando peticiones maliciosas antes de que lleguen a PHP o Next.js.
- FortiMail: filtra el correo, que sigue siendo la puerta de entrada más común para el robo de contraseñas y el ransomware.
- FortiAnalyzer y FortiSIEM: reúnen los registros de todos tus equipos y te avisan cuando algo raro pasa, como un acceso de administrador desde un lugar inusual.
- FortiAuthenticator y FortiToken: agregan el doble factor de autenticación, para que una contraseña robada no sea suficiente para entrar.
- FortiClient y FortiSASE: protegen a quienes trabajan desde casa o fuera de la oficina con el mismo nivel de seguridad que dentro.
- FortiGuard Labs: el equipo de inteligencia de amenazas de Fortinet actualiza todas estas protecciones de manera continua. En el caso de PHP2Shell, sus parches virtuales y firmas IPS ya estaban disponibles poco después de la publicación de las fallas.
📷 [IMAGEN 4 — Diagrama de capas de seguridad Fortinet. Texto alternativo sugerido: “Capas de protección Fortinet: FortiGate, FortiWeb, FortiMail, FortiAnalyzer y doble factor de autenticación”]
Plan de acción: qué hacer y en qué orden
En las próximas 48 horas
- Haz un inventario rápido. Anota qué tienes: sitios web, tiendas en línea, portales, firewalls, filtros de correo, ERP. ¿Cuáles se pueden ver desde internet? Empieza por esos.
- Pregunta a tu proveedor de hosting o desarrollo qué versión de PHP y de Next.js usan tus sitios, y pide que actualicen de inmediato.
- Revisa la versión de tus equipos Fortinet y compárala con la tabla de este artículo. Si usas FortiMail, actualízalo primero.
- Confirma que tus suscripciones de FortiGuard estén vigentes. Sin ellas, tu FortiGate no recibe los parches virtuales ni las firmas IPS más recientes.
Antes del 10 de noviembre
- Actualiza todos tus equipos Fortinet en el orden correcto: primero FortiAnalyzer, luego FortiManager y después los FortiGate. Respalda la configuración antes de cada paso.
- Cierra el acceso de administración desde internet. Los paneles de tus equipos solo deberían ser accesibles desde direcciones de confianza o por VPN.
- Activa el doble factor de autenticación en todas las cuentas de administrador y en la VPN.
- Revisa los registros en busca de señales de alerta: administradores nuevos que nadie creó, accesos a deshoras o cambios de configuración no autorizados.
En los próximos 90 días
- Reemplaza o migra equipos sin soporte, como FortiGate con FortiOS 7.0 o 7.2, o servidores con PHP 8.1 o anterior.
- Define una política de actualizaciones con responsables y tiempos claros: críticas en 48 horas, altas en una semana.
- Agrega protección para tus aplicaciones web con FortiWeb si tienes tienda en línea o portales de clientes.
- Capacita a tu equipo para reconocer correos sospechosos. La mejor tecnología se debilita con un solo clic equivocado.
Preguntas frecuentes
¿Qué es PHP2Shell?
PHP2Shell es el nombre que recibieron dos fallas críticas en PHP (CVE-2026-109618 y CVE-2026-109619), publicadas el 21 de octubre de 2026. Permiten que un atacante ejecute código en un servidor web sin usuario ni contraseña. Se corrigen actualizando PHP a las versiones 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
¿Mi página de WordPress está en riesgo por PHP2Shell?
Sí, si el servidor donde está alojada usa una versión de PHP sin corregir. WordPress funciona con PHP, así que la protección depende de que tu proveedor de hosting haya actualizado PHP. Pregúntale directamente qué versión tienes.
¿Mi FortiGate está afectado por PHP2Shell?
No. Fortinet confirmó que FortiOS, el sistema de los FortiGate, no está afectado. Además, si tienes la suscripción de FortiGuard vigente, tu FortiGate puede bloquear los ataques de PHP2Shell dirigidos a los servidores web que protege.
¿Por qué debo actualizar Fortinet antes del 10 de noviembre?
Porque ese día Fortinet publicará los detalles técnicos de las fallas que corrigió el 22 de octubre. A partir de entonces será más fácil para los atacantes aprovecharlas, y los equipos sin actualizar serán un blanco fácil.
¿Hay un ataque nuevo contra SAP?
Al 27 de octubre de 2026 no hay confirmación oficial de un ataque nuevo “de día cero” contra SAP. Lo confirmado es que SAP publicó el 13 de octubre parches para cuatro fallas críticas en productos como S/4HANA y NetWeaver, que deben aplicarse cuanto antes.
¿Qué es un parche virtual?
Es una protección que aplica tu firewall para bloquear un ataque conocido aunque el sistema vulnerable todavía no se haya actualizado. No sustituye a la actualización, pero te protege mientras la haces.
¿Basta con tener un firewall para estar protegido?
No. Un firewall es esencial, pero la seguridad funciona por capas: firewall actualizado con sus suscripciones, protección de aplicaciones web, filtro de correo, doble factor de autenticación, monitoreo de registros y personal capacitado.
¿Cómo sé si mi empresa ya fue atacada?
Algunas señales son cuentas de administrador que nadie creó, cambios de configuración sin autorizar, accesos desde lugares inusuales o procesos extraños en tus servidores. Herramientas como FortiAnalyzer y FortiSIEM ayudan a detectarlas. Si sospechas algo, busca apoyo especializado de inmediato.
En Fandis te ayudamos a dar el primer paso
Con más de 20 años acompañando a empresas en México, en Fandis sabemos que la seguridad no se trata de asustar, sino de prevenir con orden. Podemos ayudarte a revisar tus equipos Fortinet, verificar versiones y suscripciones, planear las actualizaciones sin detener tu operación y diseñar la protección por capas que tu empresa necesita.
Solicita un diagnóstico de seguridad. Conoce nuestras soluciones de seguridad en red con Fortinet o escríbenos aquí. Te atendemos de lunes a jueves de 8:00 a 18:30 h y viernes de 8:00 a 14:00 h.
Fuentes
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Unit 42 (Palo Alto Networks): Threat Brief PHP2Shell
- Datadog Security Labs: PHP2Shell
- Next.js: Security Update, 14 de octubre de 2026
- Fortinet: Security Hardening Release for Multiple Products
- FortiGuard PSIRT: impacto de PHP2Shell en productos Fortinet
- Help Net Security: FortiMail CVE-2026-104286
- Onapsis: SAP Security Patch Day, octubre 2026
- CERT-EU: vulnerabilidades críticas en el kernel de SAP (OVERPASS)
