El Nigeria Computer Emergency Response Team (ngCERT), el organismo oficial gubernamental de ciberseguridad del país, enfrentó la mayor crisis de servidores web desde Log4Shell —la falla de 2021 en la ubicua biblioteca de registro de Java, Log4j, que obligó a aplicar parches de emergencia en toda internet— con una breve publicación de "¡Parcheen ahora!" en X. El 21 de octubre de 2026, mientras los equipos de respuesta ante emergencias de Washington a Tokio ordenaban que los sistemas públicos vulnerables se desconectaran, el aviso de la agencia contrastó notablemente con la magnitud de una falla que amenaza a un estimado del 70% de los sitios web del mundo.

La publicación, difundida en https://x.com/ngCERTofficial/status/2112987792917840001?s=20, dice: "PHP2SHELL ALERT! Two critical RCE flaws (CVE-2026-109618 & CVE-2026-109619, CVSS 9.2) affect every web server running PHP 5.4+. Both vulnerabilities are exploitable on the default PHP configuration & do not require authentication to trigger. Patch Now!"

Más allá del llamado a aplicar parches, el aviso no ofreció ningún boletín técnico, instrucciones de remediación ni aplicación del cumplimiento en ministerios, departamentos y agencias (MDA): una respuesta que los críticos describen como un cumplimiento performativo de casillas en lugar de una gobernanza de ciberseguridad.

Las vulnerabilidades en el centro de la tormenta son dos fallas críticas de ejecución remota de código en el núcleo del entorno de ejecución de PHP, rastreadas como CVE-2026-109618 y CVE-2026-109619 y conocidas ampliamente como "PHP2Shell". Ambas tienen una calificación de severidad de 9.2 en CVSS v4.0 y afectan a todas las versiones de PHP desde la 5.4, lanzada en 2012, hasta la 8.5.11. Debido a que los defectos se encuentran en las rutinas de limpieza de memoria y manejo de errores de PHP, un atacante sin autenticación puede secuestrar un servidor conectado a internet con configuraciones predeterminadas antes de que el código de la aplicación del sitio o los complementos de seguridad se carguen. Esa ubicación en el entorno de ejecución compartido es lo que distingue a PHP2Shell de las fallas comunes de complementos o temas: cada sitio alojado en un servidor vulnerable hereda la exposición, sin importar cuán cuidadosamente se haya escrito su propio código de aplicación.

PHP2Shell no ocurrió en el vacío. Puso fin a un octubre implacable de brechas cibernéticas globales que demostraron la velocidad con la que el software de terceros y la infraestructura heredada pueden volverse contra sus dueños. A principios de mes, investigadores de Wiz y Calif demostraron que los modelos de IA de frontera podían comprimir meses de ingeniería inversa manual, armando las vulnerabilidades de memoria de PHP de una década contra configuraciones estándar de WordPress, Drupal y Joomla. Cuando el embargo de divulgación se filtró antes de lo previsto el 20 de octubre, los actores de amenaz comenzaron de inmediato a escanear millones de servidores en todo el mundo, obligando a la PHP Foundation a lanzar apresuradamente parches de emergencia el 21 de octubre, mientras el primer ministro de Japón instaba públicamente a las organizaciones a actualizarse o desconectar sus sitios. Posteriormente se supo que la explotación había comenzado tan pronto como el 17 de octubre, días antes de la filtración.

La conmoción llegó junto con otras tres ondas de choque globales en octubre de 2026. En Japón, un ataque de ransomware contra el proveedor de nube IDC Frontier paralizó a 495 empresas y gobiernos locales, exponiendo 6.09 millones de registros de clientes solo en el operador ferroviario JR East. Por separado, los cazadores de amenazas de Huntress descubrieron un compromiso en la cadena de suministro que involucraba identidades de SkyKick Cloud Backup de ConnectWise, lo que permitió a los atacantes eludir la autenticación multifactor de los empleados e infiltrarse en 162 entornos corporativos de Microsoft 365. En Francia, atacantes secuestraron la tecnología operativa que controlaba sistemas de refrigeración en cientos de supermercados el 11 y 12 de octubre, elevando las temperaturas a 50°C y obligando a los minoristas a desechar toneladas de alimentos en mal estado.

La velocidad de las divulgaciones de PHP2Shell también provocó cierres de emergencia generalizados en los sectores de transporte y públicos a nivel mundial, produciendo suspensiones críticas que abarcaron redes de aviación, banca y ferrocarriles desde Tokio hasta Helsinki. En el Reino Unido, el National Cyber Security Centre (NCSC) emitió advertencias urgentes a medida que se desarrollaba la crisis, y las autoridades tomaron medidas proactivas que dejaron temporalmente sin conexión 32 servicios gubernamentales y restringieron parcialmente otros cuatro mientras se aplicaban parches y mitigaciones de emergencia.

Más cerca de la región, los laboratorios sudafricanos Ampath Laboratories fueron atacados por el grupo de ransomware BytetoBreach, que afirmó haber extraído 80 millones de registros de pacientes.

Con este telón de fondo global, el contraste entre la postura de Nigeria y la de sus pares regionales es notorio. Según la National Information Technology Development Agency (NITDA), Nigeria ya pierde al menos 500 millones de dólares anualmente por el ciberdelito, y portales estatales, incluidos los de la Corporate Affairs Commission y la Independent National Electoral Commission (INEC), han sido objeto repetidamente de denuncias públicas de filtraciones de datos. Sin embargo, ngCRT trató una amenaza activa de toma de control de servidores sin autenticación como un anuncio de relaciones públicas rutinario. Una publicación en redes sociales no tiene peso legal alguno: no establece plazos para los directores de TI federales o estatales, no proporciona reglas de configuración compensatorias para servidores heredados y no exige rendición de cuentas a las empresas locales de alojamiento web que dan servicio a miles de pequeñas y medianas empresas nigerianas.

Kenia actuó de manera diferente. El 21 de octubre, el Departamento de Estado de TIC y Economía Digital del país, en coordinación con la ICT Authority, emitió una directiva formal y vinculante para todos los organismos gubernamentales. Nairobi no solo pidió a las agencias aplicar parches: ordenó a los MDA auditar las aplicaciones de nube de terceros y alojadas, restringir el acceso externo o apagar de inmediato los portales que no pudieran parchearse, y documentar cada acción correctiva para su inspección por parte de la ICT Authority.

Ghana igualó esa seriedad con un estricto reloj de cumplimiento. El 22 de octubre, la Cyber Security Authority (CSA) y la National Information Technology Agency (NITA) instruyeron conjuntamente a todas las instituciones públicas a inventariar sus despliegues de PHP, aplicar las actualizaciones de emergencia y presentar informes formales de remediación dentro de siete días. Sudáfrica, en cambio, también tropezó al no emitir una directiva nacional destacada de su CERT a pesar de miles de servidores locales expuestos. Kenia y Ghana demostraron que la defensa cibernética eficaz requiere plazos exigibles y supervisión de proveedores, no eslóganes en redes sociales. Los próximos puntos de control son claros: si ngCERT sigue su única publicación en X con un boletín técnico que contenga plazos exigibles, y qué revelarán los informes de remediación de siete días de Ghana sobre la exposición de PHP dentro de las instituciones públicas.

Cuando la aplicación regulatoria se retrasa, los equipos de ingeniería locales y los usuarios cotidianos cargan con la carga de la supervivencia. Basándose en la orientación técnica del PHP Group, Qualys, Armis y Google Cloud, esto es lo que las empresas y ciudadanos nigerianos deben hacer de inmediato:

Para empresas y administradores de sistemas

• Aplicar parches de inmediato a los entornos compatibles: Actualizar todos los entornos PHP 8.2+ a las versiones parcheadas (8.5.12, 8.4.27, 8.3.36 u 8.2.35) y reiniciar el servicio PHP-FPM o Apache para que los nuevos binarios surtan efecto en memoria.
• Cerrar el punto ciego de fin de vida útil: Los parches oficiales no cubren PHP 8.1, 8.0 o 7.x, que han llegado a su fin de vida útil. Las empresas atrapadas en alojamientos cPanel heredados deben migrar de inmediato a PHP 8.2+ o cambiar a backports endurecidos de distribuciones Linux e imágenes de contenedores. Actualizar solo temas o complementos de WordPress no detendrá este exploit.
• Aplicar mitigaciones a nivel de configuración: Cuando no sea posible aplicar parches de inmediato, Qualys y Armis recomiendan deshabilitar el rastreador de progreso de subida integrado de PHP, lo que elimina una vía principal de explotación sin afectar la funcionalidad del sitio, y aplicar límites estrictos al tamaño del cuerpo de las solicitudes y reglas de subida de archivos en firewalls de aplicaciones web (WAF) como Cloudflare o Google Cloud Armour.
• Auditar registros de servidores y claves de API: Debido a que la explotación comenzó tan pronto como el 17 de octubre, los equipos deben revisar los registros del servidor web en busca de fallos anormales por falta de memoria y rotar las credenciales de bases de datos y las claves de pasarelas de pago (como los webhooks de Paystack, Flutterwave o Monnify) almacenadas en servidores PHP expuestos a internet.

Para ciudadanos particulares y usuarios cotidianos

Un portal de comercio electrónico o gubernamental comprometido que ejecute PHP sin parchear permite a los atacantes recopilar contraseñas en texto plano mientras se escriben. Nunca reutilices la contraseña de tu correo electrónico o aplicación bancaria en sitios de compras locales, portales escolares o registros estatales.

Debido a que la toma de control de servidores web permite a los atacantes manipular silenciosamente las páginas de pago, evita guardar los datos de tu tarjeta de débito principal en sitios de pequeños comercios. Utiliza tarjetas virtuales desechables o opciones de transferencia al pagar con límites diarios de gasto estrictos.

Cuando los atacantes secuestran un servidor web legítimo de una empresa o gobierno, obtienen la capacidad de enviar correos de phishing desde nombres de dominio auténticos. Verifica cualquier solicitud urgente de pago, aviso fiscal o aviso de actualización de BVN/NIN a través de un canal independiente antes de hacer clic en enlaces.

Lectura relacionada: El acuerdo secreto de Nigeria con Meta muestra un régimen de protección de datos marcado por una doble moral notoria

La ciberseguridad en la era de la IA no deja espacio para la burocracia pasiva. Hasta que Abuya reemplace el cumplimiento performativo de casillas por mandatos de cumplimiento auditados en la infraestructura pública y privada, las empresas y ciudadanos nigerianos tendrán que ser sus propios primeros respondedores.