El martes 20 de octubre de 2026, los creadores de PHP anunciaron una actualización para dos vulnerabilidades críticas. Un día después, en varios países europeos, sitios web de administraciones, hospitales y medios se desconectaron por precaución. En este curso, empleados, administradores de TI y directivos repasan esos días y aprenden qué harán distinto en la próxima vulnerabilidad crítica.
PHP es el software sobre el que funciona aproximadamente el setenta por ciento de todos los sitios web. Mediante las dos vulnerabilidades, un ciberdelincuente podía tomar el control de un servidor sin iniciar sesión. El anuncio actuó así como una señal de salida: antes incluso de que existiera la actualización, los ciberdelincuentes ya buscaban sistemas vulnerables.
Una vulnerabilidad así afecta a toda la organización, pero no todos tienen la misma tarea. Por eso el curso consta de una breve introducción, tres módulos para tres funciones y una prueba común. Todos los módulos transcurren en la misma organización ficticia, de modo que cada participante ve cómo su función se relaciona con las demás.
- En el módulo para empleados (10 minutos), el portal de clientes se cae y, por la tarde, Sara recibe un correo con un botón para descargar la actualización de seguridad. El participante aprende a reconocer y notificar ese tipo de mensaje, incluso si ya ha hecho clic.
- En el módulo para administración de TI y seguridad de la información (12 minutos), David y Lena deben decidir en una mañana qué sistemas se desconectan. El participante aprende a sopesar el coste de una intrusión frente al de la parada, a actualizar con seguridad y después a buscar rastros de una intrusión.
- En el módulo para la dirección (10 minutos), la dirección delibera tres cuartos de hora mientras el portal de clientes sigue en línea y vulnerable. El participante aprende qué decisiones toma la dirección de antemano sobre apetito de riesgo, continuidad, mandato y proveedores.
Todos los participantes terminan con la misma prueba. De un conjunto de 25 preguntas, cada participante recibe 10, y quien obtiene 35 de 50 puntos aprueba. Con la introducción, su propio módulo y la prueba, un participante dedica unos veinte minutos.
El curso está disponible en 27 idiomas. PHP es el ejemplo y la legislación del curso es europea, de modo que el contenido encaja en cualquier país europeo.
¿Qué aprende el participante en concreto?
- Por qué una sola vulnerabilidad en software muy utilizado deja fuera de servicio tantos servicios a la vez.
- Cómo reconocer y notificar los mensajes con los que los ciberdelincuentes aprovechan la actualidad.
- Cómo averiguar rápido, ante una vulnerabilidad crítica, dónde funciona el software, quién entrega la actualización y de cuánto tiempo se dispone.
- Cómo elegir, sistema por sistema, entre desconectar, un modo de emergencia limitado o seguir en línea con un riesgo residual aceptado conscientemente.
- Qué decisiones toma la dirección de antemano, para que una decisión el mismo día cueste dos minutos en lugar de tres cuartos de hora.
- Quién hace qué en un día así, y cuándo se aplican las obligaciones de notificación del RGPD y de la directiva NIS2.
¿A quién va dirigido este curso?
El curso está pensado para toda la organización. Cada participante sigue la introducción, el módulo de su función y la prueba. Los empleados siguen el módulo sobre reconocer y notificar. Los administradores de sistemas, los administradores de aplicaciones y los responsables de seguridad siguen el módulo de administración de TI y seguridad de la información. Los directivos, directores y responsables de procesos siguen el módulo para la dirección.
Por qué este curso es relevante ahora
La vulnerabilidad de PHP no es una excepción. El tiempo entre la divulgación de una vulnerabilidad y el primer abuso es cada vez más corto, entre otras cosas porque los ciberdelincuentes usan IA. Quien solo valora las opciones cuando llegan los primeros escaneos, llega tarde.
Además, la directiva NIS2 exige que las organizaciones tengan en orden el análisis de riesgos, la continuidad del negocio y la gestión de crisis, y que la dirección lo supervise. Ante un incidente significativo hace falta una primera notificación en 24 horas. El curso usa un suceso que todos recuerdan, y las lecciones valen para cada siguiente vulnerabilidad crítica.