Un modelo de inteligencia artificial encontró PHP2Shell, el fallo de seguridad más grave que ha sufrido PHP en más de una década. PHP es el lenguaje de programación que sostiene hasta el 70% de las páginas web del mundo, desde tiendas en línea hasta portales de bancos y gobiernos.
El equipo de PHP anunció el problema el martes 20 de octubre de 2026. Luego adelantó los parches de emergencia al miércoles 21, un día antes de lo previsto. Según la Fundación PHP, cualquier instalación que atienda solicitudes web está en riesgo hasta que se actualice.
El fallo recibió una nota de 9,2 sobre 10 en la escala CVSS, que mide la gravedad de las vulnerabilidades informáticas. Es decir, se trata de un riesgo crítico. Además, la firma de ciberseguridad watchTowr fue más lejos y le asignó la nota máxima, un 10.
Qué es PHP2Shell y por qué preocupa tanto
PHP2Shell es el nombre de dos vulnerabilidades registradas como CVE-2026-109618 y CVE-2026-109619. Ambas permiten la ejecución remota de código. En otras palabras, un atacante podría tomar el control de un servidor desde cualquier lugar del mundo.
Además, el ataque no necesita contraseñas ni credenciales previas. Por eso los expertos en ciberseguridad lo consideran tan peligroso.
El problema está en el motor de PHP, no en una aplicación concreta. La primera falla tiene que ver con la gestión de la memoria cuando PHP llega a ciertos límites. La segunda aprovecha datos que quedan guardados entre una solicitud y otra.
Según el portal especializado MuyComputer, el error puede hacer que PHP conserve referencias a zonas de memoria ya liberadas. Ese tipo de fallo se conoce como use-after-free. Los atacantes suelen aprovecharlo para colar su propio código.
De acuerdo con Wiz, afecta versiones de PHP desde la 5.4 hasta la 8. También quedan expuestos los servidores con PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed.
Una inteligencia artificial descubrió PHP2Shell
Lo más llamativo del caso es quién encontró el fallo. A mediados de agosto de 2026, investigadores de la firma Calif y de Wiz usaron modelos de inteligencia artificial para revisar el código de PHP.
Según la cadena estadounidense CNBC, Calif trabajó con GPT-5.6 Sol, de OpenAI. Por su parte, Wiz usó su propia herramienta, llamada Wiz Atlas.
Ami Luttwak, cofundador de Wiz, calificó el hallazgo como “la vulnerabilidad de IA más grave que se ha encontrado jamás”. Además, opinó que probablemente era demasiado compleja para descubrirla sin ayuda de una máquina.
La historia tiene otro giro. De acuerdo con el diario español Moncloa, un investigador ya había señalado esa grieta hace años. Sin embargo, la comunidad la descartó porque explotarla parecía demasiado complicado. Por eso el error quedó escondido en el código durante tanto tiempo.
Una filtración aceleró los parches
El plan original era publicar la corrección el jueves 22 de octubre. Sin embargo, la empresa Chainguard, una de las distribuidoras que recibió el parche por adelantado, adelantó la noticia el martes.
La Fundación PHP lamentó que cualquier atacante pudiera estudiar la corrección mientras el resto de usuarios esperaba. Por eso decidió publicar las actualizaciones 24 horas antes.
Según Moncloa, el equipo modificó cerca de 200 archivos y escribió más de 10.000 líneas de código para cerrar el agujero.
Para entonces ya circulaban en GitHub códigos que decían explotar la falla. Elizabeth Barron, directora ejecutiva de la Fundación PHP, dijo a CNBC que no tenían pruebas de ataques funcionales. Según ella, solo había versiones incompletas generadas por terceros.
En cambio, Amazon Threat Intelligence reportó un intento de ataque el sábado en su red de señuelos. Además, la firma Hadrian aseguró el 21 de octubre que ya veía ataques a gran escala.
Países Bajos apagó las webs de su Gobierno
La alerta tuvo efectos inmediatos en Europa. El servicio de ciberseguridad de la Unión Europea, CERT-EU, advirtió el miércoles sobre las dos vulnerabilidades críticas.
Ese mismo día, Países Bajos desconectó por precaución la web de su Parlamento, según la agencia EFE. También apagó el portal gubernamental MijnOverheid y DigiD, el sistema de identidad digital para trámites de impuestos y salud.
Además, retiraron sus páginas web el Centro Nacional de Ciberseguridad neerlandés, la Autoridad de Protección de Datos y medios como RTL y Tweakers. Incluso universidades y hospitales universitarios apagaron parte de sus sistemas.
“Mientras no se actualicen, probablemente sea vulnerable cualquier sistema que utilice PHP”, advirtió el organismo neerlandés.
Por otro lado, el Gobierno de Costa Rica emitió una alerta técnica por PHP2Shell. En España, el INCIBE y el CCN-CERT son los organismos encargados de emitir las alertas oficiales.
Cuántos servidores están expuestos a PHP2Shell
La empresa Qualys encontró 166 millones de instalaciones de PHP en los datos de sus clientes. De ellas, el 74% está conectado directamente a internet.
Además, 110 millones de instalaciones, el 71%, usan versiones de PHP sin soporte, de la 5.4 a la 8.1. Por lo tanto, muchas no recibirán un parche oficial.
El riesgo no se limita a grandes empresas. Buena parte de las tiendas en línea, blogs y páginas web de pequeños negocios funcionan con PHP. También lo usan gestores de contenido como WordPress.
Para el usuario común, el peligro es indirecto. Si un sitio queda comprometido, un atacante podría robar contraseñas o datos personales. Incluso podría usar esa web para atacar a sus visitantes.
Qué deben hacer los dueños de páginas web
La recomendación de la Fundación PHP es actualizar de inmediato. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, todas publicadas el 21 de octubre.
Después de actualizar, hay que reiniciar Apache, PHP-FPM y cualquier proceso que cargue PHP. De lo contrario, el código vulnerable sigue en la memoria de los servidores, según advierte Qualys.
Quienes usan un hosting administrado deben confirmar con su proveedor que ya aplicó el parche. En cambio, quienes tienen PHP 8.1 o anterior necesitan migrar a una versión con soporte.
Para los usuarios, la medida más útil en materia de ciberseguridad es cambiar las contraseñas importantes. También conviene activar la verificación en dos pasos en correo, banca y redes sociales.
PHP 8.2 dejará de recibir soporte oficial el 31 de diciembre de 2026, según la firma Brandefense. Por eso los servidores que aún usan esa versión tienen poco más de dos meses para migrar.
Te puede interesar
