La semana pasada, dos vulnerabilidades críticas de PHP sacudieron Internet. Conocidas como «PHP2Shell», las vulnerabilidades «CVE-2026-109618» y «CVE-2026-109619» permiten a los atacantes ejecutar código en servidores web sin necesidad de iniciar sesión.
Si ha visto las noticias, probablemente se pregunte si su correo electrónico está a salvo.
Su cuenta de Mailfence no se ha visto afectada. Sus correos electrónicos, documentos, calendario y contactos siguen estando totalmente protegidos. A continuación, le explicamos qué ha ocurrido y por qué puede seguir usando Mailfence con normalidad.
¿Qué es la vulnerabilidad PHP2Shell?
PHP2Shell hace referencia a dos fallos de seguridad críticos (CVE-2026-109618 y CVE-2026-109619) en PHP, el lenguaje de programación que utiliza aproximadamente el 75 % de todos los sitios web.
El proyecto PHP publicó unos parches el 21 de octubre de 2026. Pero watchTowr confirmó que las vulnerabilidades estaban siendo explotadas activamente ese mismo día, con intentos de ataque registrados desde el 17 de octubre.
¿Por qué la vulnerabilidad PHP2Shell no afecta a Mailfence?
La buena noticia es que Mailfence no usa PHP para prestar su servicio.
Dado que PHP2Shell afecta específicamente a entornos de servidor que ejecutan PHP, esta vía de ataque simplemente no existe en nuestros sistemas.
El entorno de ejecución principal de PHP no forma parte de nuestra infraestructura tecnológica, por lo que los datos de Mailfence nunca estuvieron expuestos a estas vulnerabilidades.
Cómo hemos reaccionado
Aunque nuestros sistemas no son directamente vulnerables, nos tomamos muy en serio cualquier incidente de seguridad importante.
Nuestro equipo de seguridad revisó todos los sistemas en cuanto se hizo pública la información de vulnerabilidad. La revisión incluyó una auditoría completa de los servicios auxiliares y las dependencias de terceros.
En cuanto a las páginas de nuestro blog público y nuestra base de conocimientos, nuestro proveedor de alojamiento ya había instalado los parches de protección antes incluso de que se publicaran las actualizaciones oficiales.
Las cuentas de Mailfence y los datos de los usuarios en ningún momento estuvieron en riesgo. Seguimos supervisando de cerca la evolución de la situación.
¿Qué debe hacer?
Si usa Mailfence como servicio de correo electrónico, no necesita realizar ninguna acción. Su cuenta está protegida.
Sin embargo, la vulnerabilidad PHP2Shell podría afectar a otros servicios que utilice. Las plataformas autohospedadas, los sitios de WordPress y las aplicaciones web que funcionan con PHP pueden ser vulnerables.
Por ello, le recomendamos lo siguiente:
- Actualice inmediatamente cualquier servicio basado en PHP. Si gestiona sus propios sitios web o aplicaciones, instale cuanto antes la última versión de PHP que incluya las correcciones de seguridad correspondientes.
- Tenga cuidado con los correos de phishing. Las vulnerabilidades importantes suelen dar lugar a campañas de phishing que se hacen pasar por avisos de «actualizaciones de seguridad urgentes». No hagas clic en enlaces sospechosos.
- Active la autenticación de dos factores. Si aún no ha activado la autenticación de dos factores (2FA) en su cuenta de Mailfence, este es un buen momento para hacerlo.
- Use contraseñas seguras y diferentes para cada servicio. Un gestor de contraseñas le facilitará esta tarea. Así, si otra de sus cuentas se ve comprometida, su correo de Mailfence seguirá protegido.
Por qué importa la arquitectura de su proveedor de correo electrónico
La vulnerabilidad PHP2Shell nos recuerda que la tecnología que hay detrás de un servicio de correo electrónico es fundamental para su seguridad.
Una sola vulnerabilidad en PHP puso en riesgo millones de sitios web y aplicaciones. De repente, las decisiones tecnológicas que su proveedor de correo electrónico tomó años atrás pueden marcar la diferencia entre mantener sus datos protegidos y sufrir un incidente de seguridad.
Mailfence se creó desde el principio con la seguridad como principio fundamental. Entre sus medidas de protección se incluyen:
- Cifrado de extremo a extremo con OpenPGP: solo usted y su destinatario pueden leer sus correos electrónicos
- Cifrado de datos en reposo: protege los datos almacenados en nuestros servidores
- Legislación belga en materia de privacidad y el cumplimiento del RGPD: sin publicidad, sin seguimiento y sin puertas traseras
¿Tiene alguna duda? Póngase en contacto con nosotros en support@mailfence.com.
