Dos fallas críticas en PHP llevaron a gobiernos europeos a sacar sitios de línea: el parche ya salió y hay intentos de explotación

Las vulnerabilidades, bautizadas PHP2Shell y halladas con ayuda de inteligencia artificial, permiten ejecutar código a distancia sin autenticación. El proyecto publicó las correcciones el miércoles 21 y el FBI recomendó desconectar los sistemas que no puedan actualizarse.

El equipo de desarrollo de PHP, el lenguaje de programación sobre el que funciona buena parte de la web, publicó el miércoles 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que permiten a un atacante ejecutar código a distancia en un servidor sin necesidad de autenticarse. La amenaza llevó a agencias de gobierno de Países Bajos y Finlandia, entre otras organizaciones de Europa, a sacar sitios de línea de manera temporal como precaución, según Reuters.

Las fallas, registradas como CVE-2026-109618 y CVE-2026-109619 y bautizadas «PHP2Shell» por Wiz Research, recibieron una calificación de 9,2 sobre 10 en la escala CVSS v4.0. Según el aviso de seguridad del proyecto, alcanzan a todas las instalaciones de PHP que sirven páginas web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, con el riesgo más alto en mod_php. «No hay mitigaciones completas; actualizar es la única opción segura», advirtió el equipo de PHP.

La división de ciberseguridad del FBI recomendó en X que, si una actualización inmediata no es posible, las organizaciones desconecten el sistema hasta poder mitigarlo por completo, y remitió al aviso 2026-018 del CERT-EU, el equipo de respuesta a incidentes de las instituciones de la Unión Europea. PHP se usa en el 69,3% de los sitios cuyo lenguaje de servidor puede identificarse, según W3Techs citado por Tenable: sobre él funcionan WordPress, Drupal, Joomla y Magento.

Qué versiones quedan sin cobertura

Las ramas 8.1 y anteriores ya no reciben actualizaciones oficiales. Para 7.4, 8.0 y 8.1 el equipo de seguridad publicó parches mínimos en código fuente, y las versiones de la 5.4 a la 7.3 no tienen arreglo del proyecto, según Tenable. Wiz sostiene que todas las versiones publicadas en la última década están afectadas por al menos una de las dos fallas. Censys contó unos 2,58 millones de servidores expuestos a Internet que ejecutan PHP, según KrebsOnSecurity; esas mediciones no equivalen a equipos vulnerables confirmados.

Halladas con inteligencia artificial

Wiz Research informó que encontró la primera falla el 19 de agosto y la reportó al equipo de PHP el 24 de agosto, con ayuda de su herramienta de investigación autónoma Wiz Atlas y de los modelos Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI. La empresa también agradeció a Calif y a OpenAI por su trabajo en el descubrimiento; según Reuters, Calif halló las fallas con ayuda de un modelo de lenguaje. «La escala es enorme y, con IA, la explotación puede ser instantánea», dijo a Reuters Lukasz Olejnik, investigador del King's College de Londres.

Intentos de explotación y una pelea por el embargo

Amazon detectó un intento de explotación contra uno de sus servidores señuelo el 17 de octubre, cuatro días antes de la divulgación, según Tenable. El director de tecnología de Cloudflare, Dane Knecht, dijo el miércoles que la empresa veía «ataques tempranos», y Patchstack reportó incidentes en clientes de hosting, según Recorded Future. Pero la propia Recorded Future advirtió que la información disponible no permite establecer el alcance de las intrusiones exitosas, y la PHP Foundation dijo que no había identificado exploits funcionales al momento de publicar las correcciones.

La divulgación coordinada, además, se desordenó. Según The Register, los identificadores de las fallas circularon en foros desde el martes 20, y la fundación acusó a Chainguard de romper el embargo al publicar imágenes con el arreglo a las 07:41 UTC del miércoles, más de seis horas antes del lanzamiento coordinado de las 14:00 UTC (11:00 de la Argentina). El CEO de Chainguard, Dan Lorenc, no discutió la cronología, pero negó haber filtrado información y defendió la decisión por la evidencia de ataques en curso.

Qué sigue

Los administradores de sitios deben actualizar a las versiones corregidas o, si no pueden hacerlo, aislar los servidores expuestos, como recomendaron el FBI y el CERT-EU. La rama 8.2 llega al fin de su soporte el 31 de diciembre de 2026. Al cierre de esta nota no había un balance oficial de los sitios que volvieron a estar en línea ni de servidores comprometidos.