Qué pasó con PHP2Shell y por qué afecta a casi toda la web
El 21 de octubre el equipo de PHP publicó parches de emergencia para dos vulnerabilidades críticas del núcleo del lenguaje, bautizadas PHP2Shell y registradas como CVE-2026-109618 y CVE-2026-109619. Ambas llevan una calificación de 9.2 sobre 10 en la escala CVSS 4.0 y permiten ejecutar código en el servidor sin autenticarse.
La diferencia con el típico susto de un plugin desactualizado es que aquí el agujero está en el motor de PHP, no en tu código ni en el de WordPress. Wiz Research estima que PHP sostiene cerca del 70% de los sitios web del mundo, y Palo Alto Networks Cortex Xpanse identificó más de 22,6 millones de servidores expuestos a internet corriendo versiones potencialmente vulnerables, según reportó Clarín. Para un founder, eso significa que el problema no se resuelve actualizando un tema: se resuelve en la capa de infraestructura.
El otro detalle que hace ruido es quién encontró las fallas. No fue un equipo humano de auditoría tradicional: OpenAI confirmó que la firma de seguridad Calif las detectó usando GPT-5.6 Sol dentro de su programa Patch the Planet, mientras que Wiz llegó a las mismas fallas de forma independiente con Gemini 4 Argon. Es la primera vez que una vulnerabilidad de este calibre se atribuye de forma explícita a modelos de frontera.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasLas dos fallas: memoria sin inicializar y estado global obsoleto
Las dos vulnerabilidades viven en cómo PHP administra la memoria cuando una petición HTTP choca con un error fatal.
- CVE-2026-109618 (corrupción por agotamiento de memoria): cuando un script agota los recursos y dispara un error de out-of-memory, el motor aborta la ejecución dejando datos internos de la petición a medio inicializar. La rutina de limpieza los trata como válidos y un atacante puede aprovechar ese hueco para ejecutar comandos.
- CVE-2026-109619 (estado global obsoleto): el estado interno de una petición sobrevive después de que su memoria fue liberada. Una petición posterior atendida por el mismo worker puede leer esas referencias inválidas, lo que habilita filtración de memoria o ejecución de código.
Según Help Net Security, los escenarios más peligrosos son los despliegues con Apache mod_php, donde se demostró que una sola petición no autenticada dispara el ataque antes de que corra cualquier código de la aplicación. Sansec reportó demostraciones de ejecución remota contra WordPress, Drupal, Joomla, Magento, MediaWiki, Roundcube, phpMyAdmin, Nextcloud, Laravel, Symfony y WHMCS.
Y no es solo ejecución de código: Wiz mostró que también es posible leer contraseñas, tokens de autenticación, claves de API y certificados directamente desde la memoria del proceso.
El papel de la IA: crédito repartido y una ventana que se cierra
La historia del descubrimiento es multiparte y conviene no simplificarla. OpenAI enmarca el hallazgo dentro del concepto de "Defender's Window": modelos avanzados encontrando fallas antes que los atacantes, lo que da tiempo a los defensores para prepararse. La compañía describe aproximadamente dos meses de coordinación con mantenedores, proveedores de nube y gobiernos antes de la divulgación pública.
Calif, sin embargo, después atribuyó el primer hallazgo al investigador independiente @lcfr_hax, y señaló que su trabajo convenció a la PHP Foundation de financiar la corrección de toda la clase de errores. Es decir: la IA acortó el camino, pero no reemplazó el criterio humano ni el trabajo de ingeniería del parche.
El programa Patch the Planet se presentó en junio de 2026, según recoge el análisis de note.com, y esta vez OpenAI publicó un marco de cinco pasos para responder a vulnerabilidades descubiertas por IA: verificación y parcheo upstream, tiempo de preparación para las organizaciones afectadas, coordinación con agencias gubernamentales, preparación para actualizar productos relacionados y acompañamiento posterior a la divulgación. También existe Daybreak for Frontline Defenders, un subsidio de US$1.000 millones en acceso a modelos y productos de ciberseguridad para defensores con pocos recursos.
Qué versiones hay que actualizar
Los parches ya están disponibles. Cada rama soportada tiene su versión corregida:
- PHP 8.2 → 8.2.35
- PHP 8.3 → 8.3.36
- PHP 8.4 → 8.4.27
- PHP 8.5 → 8.5.12
Google Cloud indicó que las versiones afectadas van desde PHP 5.4 hasta 8.5.11. Las distribuciones de Linux y los proveedores de soporte a largo plazo recibieron los parches antes del anuncio público. Para PHP 7.4, 8.0 y 8.1 —fuera de soporte oficial— el equipo liberó backports mínimos de código fuente.
Hay una advertencia concreta para quien usa el repositorio voluntario rpms.remirepo.net: no tendrá actualizaciones, así que hay que migrar a los paquetes de la distribución o compilar PHP desde el código fuente.
Qué significa esto para tu startup
Si tu producto corre sobre WordPress, un e-commerce en Magento o cualquier API en PHP, este episodio no es una noticia de terceros: es una revisión de tus supuestos operativos. Tres cosas quedaron claras.
Primero, el parche no vive en tu aplicación. Actualizar WordPress, un tema o un plugin no corrige una falla del runtime. Si usas hosting compartido o gestionado, la responsabilidad es del proveedor y tienes que exigir confirmación por escrito de que el PHP del servidor ya está parchado. Si administras tus propios servidores, la actualización es tuya.
Segundo, el inventario es el verdadero cuello de botella. El problema no fue encontrar la falla, fue distribuir el arreglo. PHP se esconde en contenedores, appliances, workers en segundo plano y aplicaciones viejas que nadie recuerda. Shodan mostró que cerca del 60% de los servidores con banner PHP expuesto corren builds fuera de soporte, según Clarín. Esos nunca se van a parchar solos.
Tercero, el WAF es un parche temporal, no la solución. Cloudflare desplegó reglas de mitigación para todos sus clientes, incluido el plan gratuito, antes de la publicación del parche. Su CTO fue explícito: son un stopgap y hay que actualizar igual.
Acciones concretas para esta semana
- Haz el inventario de PHP. Lista cada sitio, contenedor, worker y servicio que corra PHP, con su versión exacta. Incluye lo que gestionan contratistas y lo que vive en servidores de alquiler que ya nadie mira.
- Verifica la versión en ejecución, no la del archivo. Después de actualizar, confirma qué build está corriendo realmente el proceso. Un paquete instalado no equivale a un proceso reiniciado.
- Rota credenciales si estuviste expuesto. Como la falla permite leer claves de API, tokens y certificados desde memoria, actualizar cierra la puerta pero no borra lo que ya pudo salir. Cambia contraseñas y claves de los servicios críticos.
- Revisa indicios de compromiso. Busca procesos worker que invoquen shells, archivos nuevos en directorios temporales o web shells en la raíz del sitio.
El problema de fondo: parchear a la velocidad de la IA
El episodio también dejó ver las grietas del proceso. Según Infosecurity Magazine, un usuario publicó los identificadores CVE en un foro el 20 de octubre, un día antes de la divulgación prevista, y el calendario de publicación se adelantó. La PHP Foundation reportó además que Calif publicó por error un video de prueba de concepto y que Chainguard liberó una imagen con el arreglo más de seis horas antes del anuncio oficial.
Más incómodo aún: Amazon Threat Intelligence informó que su red de honeypots MadPot registró un intento de explotación de PHP2Shell el 17 de octubre, cuatro días antes de la divulgación pública, desde una IP asociada a un servicio comercial de anonimización. Cómo obtuvo el atacante los detalles sigue sin explicarse.
A eso se suma el ruido de reportes. La PHP Foundation reveló que escaneó PHP con Claude Mythos de Anthropic y que, de los reportes procesados desde julio, más de 100 eran inválidos, duplicados o no reproducibles. Cuando atacantes y defensores usan los mismos modelos, el volumen de señales crece más rápido que la capacidad de triaje.
Conclusión
PHP2Shell no es el fin del mundo, pero sí un cambio de régimen. La lección para un founder no es "la IA es peligrosa" ni "la IA nos salva": es que el intervalo entre que se descubre una falla crítica y que se explota se está comprimiendo, y tu capacidad de reaccionar depende de cosas poco glamorosas —saber qué versión corre dónde, tener un procedimiento para parchear el mismo día y poder apagar un servicio sin que el negocio se caiga.
Las startups que salieron bien paradas de este episodio no fueron las que tenían el mejor WAF, sino las que podían responder una pregunta simple en menos de una hora: ¿qué versión de PHP estamos corriendo y en cuántos lugares?
Fuentes
- AINews: OpenAI's Patch the Planet program (Latent Space) (fuente original)
- PHP2Shell: Critical PHP vulnerabilities patched, update now! (Help Net Security)
- Patch the Planet: Critical PHP Vulnerability Discovered by AI (note.com)
- PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities (Hackread)
- PHP vulnerability 2026 explained: what happened with PHP2Shell (Clarín)
- PHP vulnerability sparks scramble as major websites face threat (Yahoo/Newsweek)
- Critical PHP Vulnerabilities Leaked Ahead of Scheduled Security Patches (Infosecurity Magazine)
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
