Actualizado: 22 de octubre de 2026 | LAWEM Abogados | Derecho Digital y Protección de Datos Personales
Una vulnerabilidad informática puede convertirse en un problema legal para una empresa. La reciente identificación de dos fallas críticas en PHP, conocidas como PHP2Shell, ha puesto en alerta a organizaciones que utilizan servidores y aplicaciones web desarrolladas con esta tecnología.
Estas vulnerabilidades no representan únicamente un desafío para los departamentos de tecnología. Cuando los sistemas comprometidos almacenan o procesan información de clientes, trabajadores, proveedores o usuarios, también pueden generar consecuencias jurídicas bajo la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador.
En este contexto, las empresas deben comprender que la protección de datos personales no se limita a contar con políticas de privacidad o cláusulas contractuales: también exige adoptar medidas efectivas para prevenir, detectar y gestionar riesgos tecnológicos.
¿Qué es PHP2Shell y por qué representa una amenaza para las empresas?
PHP es uno de los lenguajes de programación utilizados para desarrollar páginas web, plataformas comerciales, sistemas empresariales y aplicaciones que gestionan información.
El 21 de octubre de 2026 se publicaron actualizaciones de seguridad para corregir dos vulnerabilidades críticas identificadas como:
- CVE-2026-109618: vulnerabilidad asociada a la gestión incorrecta de memoria durante determinadas condiciones de error.
- CVE-2026-109619: vulnerabilidad relacionada con referencias a memoria liberada que pueden permitir comportamientos inseguros durante el procesamiento de solicitudes.
Ambas han recibido una calificación de severidad crítica de 9,2 sobre 10 en el sistema CVSS 4.0.
Su explotación podría permitir que un atacante no autenticado ejecute código de manera remota en servidores vulnerables, con consecuencias potenciales para las aplicaciones, la información almacenada y la continuidad operativa de las organizaciones.
Esto resulta especialmente relevante para empresas que utilizan sistemas de comercio electrónico, portales de clientes, plataformas administrativas o gestores de contenido como WordPress.
Sin embargo, es importante aclarar que utilizar PHP o WordPress no significa automáticamente que un sistema haya sido comprometido. El riesgo depende de la versión instalada, su configuración, las condiciones de exposición y la existencia de medidas de seguridad.
¿Qué relación existe entre PHP2Shell y la protección de datos personales en Ecuador?
Una vulnerabilidad de software es, inicialmente, un riesgo tecnológico. No obstante, puede adquirir relevancia jurídica cuando su explotación compromete datos personales.
Pensemos en una empresa ecuatoriana que administra una plataforma digital con información de sus clientes: nombres, números de identificación, direcciones, correos electrónicos, datos financieros o historiales de transacciones.
Si un tercero aprovecha una vulnerabilidad para acceder indebidamente a esa información, modificarla, extraerla o impedir su disponibilidad, la organización podría enfrentar una vulneración de seguridad de datos personales.
La LOPDP define estas vulneraciones en función de la afectación a tres elementos fundamentales:
Confidencialidad
Acceso o divulgación de datos personales a personas no autorizadas.
Integridad
Modificación, alteración o destrucción indebida de información personal.
Disponibilidad
Pérdida de acceso a información necesaria para el funcionamiento de los servicios o el ejercicio de los derechos de sus titulares.
Por ejemplo, un ataque que inutilice una base de datos de pacientes podría generar consecuencias jurídicas aun cuando no se demuestre una extracción de información, debido a la afectación de su disponibilidad.
Por ello, una organización no debe esperar a confirmar una filtración masiva para comenzar a evaluar sus obligaciones legales.
¿Qué exige la Ley Orgánica de Protección de Datos Personales frente a estas amenazas?
En Ecuador, la protección de los datos personales constituye un derecho reconocido en el artículo 66 numeral 19 de la Constitución de la República.
La LOPDP desarrolla este derecho e impone obligaciones a los responsables y encargados del tratamiento.
En particular, su artículo 10 contempla los principios de seguridad de datos personales y responsabilidad proactiva y demostrada.
Esto significa que las organizaciones deben adoptar medidas técnicas y organizativas apropiadas para proteger los datos frente a riesgos, amenazas y vulnerabilidades, considerando las características del tratamiento.
Adicionalmente, los artículos 38 al 43 de la LOPDP regulan aspectos relacionados con la seguridad, la evaluación de riesgos y la gestión de vulneraciones de datos personales.
Desde una perspectiva empresarial, estas obligaciones tienen una consecuencia importante:
No basta con afirmar que una empresa protege los datos personales. Debe estar en capacidad de demostrar qué medidas ha implementado, cómo identifica sus riesgos y qué acciones adopta cuando detecta una amenaza.
Así, frente a una vulnerabilidad crítica como PHP2Shell, adquieren especial relevancia los inventarios de sistemas, la gestión de actualizaciones, las evaluaciones de riesgos, los protocolos de incidentes y la evidencia documental de las decisiones adoptadas.
¿Una empresa debe notificar un incidente de ciberseguridad a la Superintendencia de Protección de Datos Personales?
Esta es una de las cuestiones más importantes para las organizaciones ecuatorianas.
El artículo 43 de la LOPDP establece la obligación del responsable de notificar las vulneraciones de seguridad de datos personales a la autoridad competente cuando se cumplan las condiciones previstas en la ley.
No toda vulnerabilidad informática detectada constituye automáticamente una vulneración de datos personales. Sin embargo, cuando existe un incidente que afecta información personal, es necesario determinar su alcance y el riesgo que representa para los titulares.
La normativa ecuatoriana establece los siguientes términos:
| Obligación | Término legal |
| Notificación del responsable a la SPDP y ARCOTEL, cuando corresponda | 5 días desde que tenga constancia de la vulneración |
| Comunicación del encargado al responsable | 2 días desde que conozca la vulneración |
| Comunicación del responsable a los titulares afectados, cuando corresponda | 3 días desde que tenga conocimiento del riesgo para sus derechos |
Estas obligaciones se encuentran previstas en los artículos 43 y 46 de la LOPDP, y deben interpretarse conjuntamente con el Reglamento General y las disposiciones aplicables de la SPDP.
Por tanto, identificar un servidor vulnerable no activa por sí solo la obligación de notificar una vulneración, pero sí exige adoptar medidas de seguridad apropiadas y evaluar la exposición.
Cuando existe un incidente real o una sospecha fundada de compromiso de datos personales, la empresa debe activar inmediatamente su procedimiento de respuesta, evaluar el riesgo y determinar las comunicaciones legalmente exigibles.
¿Qué deberían hacer las empresas ecuatorianas ante PHP2Shell?
La respuesta debe ser coordinada entre el área tecnológica, la administración de la empresa y los responsables del cumplimiento de protección de datos personales.
Recomendamos adoptar las siguientes medidas:
1. Verificar la exposición tecnológica. Identificar servidores, aplicaciones, plataformas y proveedores que utilizan PHP, incluyendo servicios de alojamiento y sistemas administrados por terceros.
2. Actualizar las versiones vulnerables. El proyecto PHP ha publicado correcciones en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las versiones antiguas sin soporte deben migrarse a versiones mantenidas o contar con correcciones verificadas del proveedor.
3. Revisar posibles indicios de compromiso. Analizar registros de actividad, accesos inusuales, modificaciones de archivos y otros indicadores relevantes. La ausencia de alertas no demuestra, por sí sola, que no exista compromiso.
4. Evaluar el impacto sobre los datos personales. Determinar si los sistemas afectados almacenan información personal, qué categorías de datos podrían estar expuestas y qué riesgos existen para los titulares.
5. Activar el protocolo de gestión de incidentes. Cuando existan indicios de afectación, documentar el incidente, preservar evidencias, implementar medidas de contención y evaluar las obligaciones de notificación.
6. Revisar los contratos con proveedores tecnológicos. Verificar las obligaciones de seguridad, cooperación, notificación de incidentes y responsabilidad de proveedores que actúan como encargados del tratamiento.
7. Documentar las acciones ejecutadas. Mantener evidencia de las evaluaciones, actualizaciones, decisiones y medidas correctivas adoptadas.
Es importante destacar que la instalación de un firewall, la utilización de servicios en la nube o la contratación de un proveedor tecnológico no sustituyen las obligaciones de protección de datos que correspondan a la organización.
¿Qué consecuencias legales podría enfrentar una empresa que no protege adecuadamente los datos personales?
La existencia de una vulnerabilidad informática no implica, por sí misma, que una empresa haya cometido una infracción administrativa.
Sin embargo, la falta de medidas de seguridad adecuadas, la ausencia de mecanismos de gestión de riesgos o el incumplimiento de las obligaciones de notificación pueden dar lugar a investigaciones y procedimientos administrativos ante la Superintendencia de Protección de Datos Personales.
La LOPDP contempla un régimen sancionador que distingue infracciones leves y graves, con consecuencias económicas que pueden determinarse considerando, entre otros factores, el volumen de negocio de las organizaciones privadas.
En particular, la falta de implementación de medidas administrativas, técnicas, físicas, organizativas y jurídicas adecuadas puede constituir una infracción grave, conforme al artículo 68 de la LOPDP, según las circunstancias del caso.
A ello pueden sumarse otras consecuencias: reclamaciones de titulares, conflictos contractuales, interrupciones operativas y afectaciones reputacionales.
Por esta razón, el cumplimiento de la LOPDP debe entenderse como un proceso permanente de prevención y gestión de riesgos, y no únicamente como la elaboración de documentos legales.
El papel del Delegado de Protección de Datos Personales frente a los incidentes de seguridad
La gestión de una vulnerabilidad como PHP2Shell permite comprender la importancia de contar con una adecuada coordinación entre las funciones tecnológicas y jurídicas de una organización.
El Delegado de Protección de Datos Personales (DPO), cuando su designación resulte legalmente exigible, cumple una función de asesoramiento y supervisión del cumplimiento normativo.
Ante un incidente de seguridad, su intervención puede comprender la revisión del riesgo para los derechos de los titulares, el asesoramiento sobre las obligaciones de notificación, la supervisión de los procedimientos aplicables y la cooperación con la autoridad de control.
No obstante, el DPO no sustituye al responsable del tratamiento ni asume las decisiones empresariales o técnicas que corresponden a este.
La prevención eficaz requiere que la protección de datos forme parte de las decisiones de administración, contratación tecnológica y gestión de riesgos de la empresa.
¿Está su empresa preparada para afrontar un incidente de seguridad de datos personales?
La aparición de PHP2Shell demuestra que los riesgos tecnológicos pueden surgir incluso en herramientas y plataformas ampliamente utilizadas.
Para las empresas ecuatorianas, la pregunta no debería limitarse a si sus sistemas cuentan con las últimas actualizaciones.
También deberían preguntarse:
- ¿Conocemos qué datos personales se almacenan en nuestros sistemas?
- ¿Tenemos identificados los riesgos asociados a nuestros proveedores tecnológicos?
- ¿Contamos con un procedimiento para responder a vulneraciones de seguridad?
- ¿Sabemos cuándo y cómo debemos notificar un incidente a la SPDP?
- ¿Podemos demostrar las medidas que hemos adoptado para cumplir con la LOPDP?
Responder estas preguntas permite identificar oportunidades de mejora antes de que un incidente se convierta en una contingencia legal.
Protección de datos personales: prevenir es parte de una buena gestión empresarial
En LAWEM Abogados asesoramos a empresas en la implementación y cumplimiento de la Ley Orgánica de Protección de Datos Personales del Ecuador, con un enfoque jurídico, corporativo y preventivo.
Nuestro acompañamiento comprende la evaluación del estado de cumplimiento normativo, la revisión de políticas y contratos, el asesoramiento en gestión de riesgos y vulneraciones de seguridad, así como el apoyo en las funciones del Delegado de Protección de Datos Personales.
La ciberseguridad y el cumplimiento legal deben avanzar de manera coordinada. Una organización que identifica oportunamente sus riesgos y documenta las medidas adoptadas se encuentra en mejores condiciones para proteger la información que administra y responder ante eventuales requerimientos de la autoridad.
Si su empresa necesita evaluar sus obligaciones en materia de protección de datos personales o fortalecer sus mecanismos de prevención y respuesta ante incidentes, nuestro equipo puede brindarle asesoramiento jurídico especializado.
Contáctenos para conocer cómo podemos apoyar a su organización en el cumplimiento de la LOPDP.
No necesariamente. La exposición depende principalmente de la versión y configuración de PHP utilizada en el servidor. Las empresas deben verificar las versiones instaladas y aplicar las actualizaciones correspondientes.
No por el solo hecho de existir. Debe analizarse si se ha producido una vulneración de seguridad de datos personales y si concurren las condiciones legales de notificación.
Sí, cuando se configure una infracción autónoma por incumplimiento de las obligaciones de seguridad o de otras disposiciones de la LOPDP. La sanción requiere el correspondiente procedimiento y la acreditación de la infracción.
¿Su empresa cumple con la Ley de Protección de Datos Personales?
Identifique riesgos legales, revise sus obligaciones y fortalezca los mecanismos de protección de datos de su organización.
LAWEM Abogados | Asesoría jurídica especializada en protección de datos personales.
Solicitar asesoría en protección de datos.
Escrito por: Abg. José Javier Suasnavas Alarcón Abogado especializado en Protección de Datos Personales | LAWEM Abogados Conoce al autor
Advertencia: Este artículo tiene fines exclusivamente informativos y no constituye asesoría u opinión legal. La aplicación de estas reglas depende de las circunstancias concretas de cada compañía y de la normativa vigente.