Saltar al contenido
ITLAB
ESEN

29 / 10 / 2026 · Seguridad

Ciberseguridad en Chile: PHP2Shell, ransomware y las leyes que vienen

Qué pidió el CSIRT Nacional ante PHP2Shell, qué dicen las cifras de la ANCI y del ransomware en Chile, y qué exigen las leyes 21.663 y 21.719 a las empresas.

Segunda entrega de nuestra serie sobre seguridad de servidores en la era de la IA. En la primera parte contamos qué cambió y cómo respondimos a PHP2Shell; aquí bajamos esas noticias internacionales a la realidad chilena.

PHP2Shell en Chile

PHP2Shell también llegó a Chile. El CSIRT Nacional, que depende de la Agencia Nacional de Ciberseguridad (ANCI), publicó una alerta el mismo 21 de octubre, actualizada el 23, advirtiendo que podía afectar a proveedores de servicios esenciales y operadores de importancia vital. Pidió instalar de inmediato las versiones corregidas, advirtió que las mitigaciones temporales «no garantizan una protección completa», que un cortafuegos de aplicaciones no reemplaza las actualizaciones, y recomendó revisar los registros hacia atrás, desde el 17 de octubre, en busca de señales de explotación. Como dijo a la Universidad de Valparaíso el académico Marco Aravena: «Que haya una alerta oficial no significa que haya sitios chilenos comprometidos». Pero la pregunta, agregó, es cuánto nos afecta.

El contexto local muestra por qué importa:

  • Más incidentes. Según la ANCI, citada por Mundo en Línea y otros medios, Chile tuvo 324 incidentes de efecto significativo en el primer semestre de 2026, cerca de los más de 400 reportes de todo 2025. Según Las2orillas, casi la mitad de los incidentes partió con una cuenta comprometida, y el 41 % de los casos de 2025 se podía evitar con medidas simples; la ANCI promueve nueve medidas básicas que, según la agencia, prevendrían hasta el 90 % de los incidentes reportados.
  • Ransomware en alza. Entre enero y agosto de 2026, 33 organizaciones chilenas fueron afectadas por ransomware, el cuarto lugar de América Latina, según el reporte de Gtd elaborado por Secure Soft con registros de CronUp, citado por DeboSaber y otros medios (todos basados en ese mismo reporte). Según CronUp, agosto fue el peor mes registrado en el país, con al menos diez organizaciones afectadas, entre ellas el Hospital Clínico de la Universidad de Chile, y el promedio de 2026 cuadruplica el de 2023.
  • Ley Marco de Ciberseguridad (Ley 21.663). Creó la ANCI y obliga a los servicios esenciales y a los operadores de importancia vital (1.154 designados, según la agencia) a gestionar vulnerabilidades, tener planes de continuidad y reportar incidentes significativos: una alerta temprana en 3 horas, un segundo reporte en 72 horas (24 para operadores vitales con su servicio afectado) y un informe final en 15 días, según Asentic y Las2orillas. Las multas llegan a 40.000 UTM.
  • Ley de Protección de Datos Personales (Ley 21.719). Según la ley vigente, rige desde el 1 de diciembre de 2026. El 28 de octubre de 2026, el Senado aprobó postergarla al 15 de octubre de 2027; el proyecto pasó a la Cámara, y mientras no se apruebe y publique, la fecha legal sigue siendo el 1 de diciembre de 2026 (detalles en nuestra nota sobre la postergación). Contempla multas de hasta 20.000 UTM y, en reincidencia, de hasta el 2 % o 4 % de los ingresos anuales, según guías como la de Prey. Una brecha que exponga datos personales deberá notificarse a la nueva Agencia de Protección de Datos.

Para una empresa chilena, el mensaje es concreto: aunque no esté obligada por la Ley 21.663, sus clientes o proveedores pueden estarlo, y la Ley 21.719 alcanza a cualquiera que trate datos personales.

Qué preguntarle a su proveedor de TI

  • Si tenemos un incidente, ¿quién lo reporta y en qué plazos, considerando la Ley 21.663 y la Ley 21.719?
  • ¿Revisaron los registros desde el 17 de octubre, como recomendó el CSIRT Nacional, en los sistemas con PHP?
  • ¿Las cuentas de administración tienen autenticación de dos factores? Según la ANCI, casi la mitad de los incidentes parte con una cuenta comprometida.

Preguntas frecuentes

¿Hubo sitios chilenos comprometidos por PHP2Shell? Las fuentes revisadas no informan ataques exitosos confirmados en Chile. El CSIRT Nacional emitió una alerta y pidió actualizar de inmediato.

¿Qué exige la ley chilena? La Ley 21.663 obliga a servicios esenciales y operadores de importancia vital a gestionar su seguridad y reportar incidentes significativos en plazos de 3 horas, 72 horas y 15 días. La Ley 21.719, de datos personales, alcanza a cualquier organización que trate datos de personas.

¿Se postergó la Ley 21.719? El Senado aprobó postergarla al 15 de octubre de 2027, pero falta la Cámara. Mientras no se publique la postergación, la fecha legal sigue siendo el 1 de diciembre de 2026.

Fuentes

Sigue la serie

Contacto

Si su organización quiere revisar su seguridad o sus obligaciones bajo la Ley 21.663 y la Ley 21.719, ITLab puede ayudarle. Contáctenos.

¿Necesitas a alguien que se haga cargo de tu tecnología?

Cuéntanos qué necesitas ordenar, proteger o resolver. La primera conversación no tiene costo: evaluamos si nuestro modelo te sirve y cuáles serían los siguientes pasos.

Conversemos sobre tu empresa