Mg. Gabriel Venegas Mancilla
Director carrera de Ingeniería Civil Informática
Universidad Autónoma de Chile, Sede Temuco
La reciente alerta mundial por dos vulnerabilidades críticas en PHP, un lenguaje utilizado para construir sitios y aplicaciones web, nos recuerda que detrás de cada trámite en línea, compra o reserva existe una infraestructura que también puede fallar. Y cuando eso ocurre, las consecuencias no se limitan a una página fuera de servicio: pueden alcanzar la información de personas y organizaciones.
La magnitud del desafío es considerable. Según W3Techs, PHP se utiliza en cerca de siete de cada diez sitios web cuyo lenguaje del servidor puede identificarse. Esta cifra no significa que todos esos sitios estén expuestos, pero sí explica por qué una falla en una tecnología tan extendida merece atención internacional.
Las vulnerabilidades conocidas como PHP2Shell, divulgadas en octubre, podrían permitir a un atacante ejecutar código en servidores que utilizan versiones afectadas, incluso sin disponer de credenciales de acceso. Los desarrolladores ya publicaron actualizaciones de seguridad. Por tanto, el riesgo no depende solamente de que exista una falla, sino también de la capacidad de las organizaciones para identificarla y corregirla a tiempo.
En Temuco y el resto de La Araucanía, esta discusión no es lejana. Una pyme que vende por Internet, un centro de salud que gestiona horas o una institución que recibe formularios digitales dependen de sistemas que almacenan y procesan información. No sabemos que estas organizaciones hayan sido afectadas por PHP2Shell; el punto es que ninguna debería considerar la seguridad como una tarea que termina cuando se publica su sitio web.
Chile, además, está avanzando hacia mayores exigencias. La Ley Marco de Ciberseguridad, N.º 21.663, establece deberes de reporte de incidentes significativos para las entidades sujetas a su ámbito de aplicación, entre ellas prestadores de servicios esenciales. No se trata de una obligación idéntica para toda empresa ni de informar automáticamente cada falla técnica.
A ello se suma la Ley N.º 21.719, que comenzará a regir el 1 de diciembre de 2026. Su regulación sobre datos personales exigirá reportar a la nueva Agencia de Protección de Datos Personales determinadas vulneraciones de seguridad cuando exista un riesgo razonable para los derechos y libertades de las personas. En casos previstos por la ley, también corresponderá informar a los titulares afectados. Proteger los datos dejará de ser solo una buena práctica: tendrá obligaciones más explícitas y consecuencias ante su incumplimiento.
¿Qué debieran hacer hoy nuestras organizaciones? Conocer las tecnologías que utilizan, mantener inventarios y respaldos, aplicar parches oportunamente, limitar accesos y definir quién responde cuando ocurre un incidente. Son medidas menos vistosas que lanzar una nueva plataforma, pero fundamentales para sostener la confianza.
La transformación digital de La Araucanía no puede medirse únicamente por la cantidad de servicios disponibles en línea. También debe evaluarse por la capacidad de protegerlos. Porque detrás de cada dato comprometido puede haber una persona, y detrás de cada sistema desactualizado, una responsabilidad que ya no podemos postergar.