PHP2Shell: la IA halla el fallo que expone al 70% de la web

Qué es PHP2Shell y por qué puso en alerta a medio Internet

El 21 de octubre a mediodía, la comunidad de PHP publicó versiones que corregían dos vulnerabilidades —CVE-2026-109618 y CVE-2026-109619— que permiten a un atacante ejecutar código en un servidor sin necesidad de iniciar sesión. El paquete de fallos recibió un nombre propio: PHP2Shell. La reacción fue inmediata y sin precedentes: servicios públicos de España, Francia, Dinamarca, Finlandia y Países Bajos se desconectaron de la red para no quedar expuestos.

El alcance explica la urgencia. Según el artículo original de Xataka, PHP está presente en el 69,3% de las webs del planeta, y WordPress —construido sobre él— alimenta cerca del 40% de todos los sitios. RTVE eleva la cifra al 70% de las páginas con lenguaje identificable y confirma que ambos fallos alcanzan una puntuación de 9,2 sobre 10 en la escala CVSS v4.0.

Traducido a negocio: si tu web, tu tienda online o tu panel de administración corren sobre PHP, el riesgo no es teórico. Un atacante no necesita credenciales, ni una contraseña filtrada, ni un empleado descuidado. Solo una petición bien construida.

Cómo la IA encontró en una semana lo que llevaba una década escondido

Aquí está el giro que convierte esta noticia en un parteaguas. El error de memoria detrás del fallo se había reportado a PHP en 2020 y una auditoría externa de 2024 volvió a detectarlo, pero nadie había logrado demostrar que fuera explotable. La Fundación PHP lo conocía y el proceso de parcheo se atascó por falta de consenso y recursos.

Lo que desbloqueó el problema fue la IA. Wiz, la firma de seguridad propiedad de Google, combinó GPT-5.6 Sol con Gemini 4 Argon y demostró ejecución remota de código en WordPress, Drupal y Joomla. En paralelo, Calif —firma que colabora con OpenAI a través del programa Patch the Planet— amplió la lista a Magento, MediaWiki, Nextcloud y phpMyAdmin. El investigador Ryan Austin, de Calif, partió de aquel error ya conocido y usó un modelo para provocarlo a voluntad y convertir el patrón en una instrucción reutilizable.

El dato que conviene retener: según Wiz, un solo investigador hizo en una semana lo que antes habría requerido meses y un equipo de primer nivel. De acuerdo con la cobertura de Unite.AI, Calif confirmó ejecución remota de código previa a la autenticación en WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 y Symfony 8.1, entre otros.

Pero el humano no desapareció. Austin explicó que ningún modelo encuentra esos errores sin alguien que conozca el historial del código o el objetivo del ataque. La IA acelera; el criterio sigue siendo humano.

Qué significa esto para tu startup

Tres lecturas concretas.

Primero: el riesgo de concentración es real y barato de ignorar. Buena parte del stack de una startup hispanohablante —web corporativa, blog, tienda, CRM, panel interno— corre sobre PHP o sobre un CMS que lo usa por debajo. Una sola dependencia sin parchear abre la puerta a todo lo demás.

Segundo: la ventana de exposición se mide en horas, no en semanas. El CEO de Cloudflare, Matthew Prince, describió a El Mundo la progresión del ataque: "miles de intentos" en las 10 horas previas al anuncio público, "decenas de miles" en los 45 minutos posteriores, "cientos de miles" a las 2 horas y "millones ahora mismo". Unit 42, la división de investigación de Palo Alto Networks, calcula que más de 22,6 millones de aplicaciones web y servidores están expuestos.

Tercero: el hosting compartido te cubre, si tu proveedor responde. Desde INCIBE-CERT apuntan que de los cerca de dos millones de dominios .es activos, alrededor de 1,5 millones usan PHP y la mayoría están alojados en hosting compartido, donde es la empresa la que actualiza por todos sus clientes. Es una ventaja, pero también una dependencia: conviene confirmarla por escrito.

La otra cara: la IA también acelera a los atacantes

El episodio no es solo una victoria defensiva. Días antes de la divulgación, Amazon Threat Intelligence detectó en una red de servidores trampa un intento de explotar la vulnerabilidad PHP2Shell cuando la información aún no era pública. Cloudflare también reportó ataques contra sus sistemas. Según Sansec, hay código vulnerable que se remonta a PHP 5.4, de 2012.

La carrera no se detiene. Anthropic presentó Mythos, con el que dijo haber identificado miles de vulnerabilidades graves en sistemas operativos y navegadores, y lo puso a disposición de empresas bajo el Proyecto Glasswing. OpenAI respondió con GPT-6 Astra, que según la fuente alcanza un 100% en exámenes como ExploitBench frente al 78,5% de GPT-5.6 Sol. La versión comercial rechaza tareas ofensivas avanzadas, pero el código abierto y los modelos pesados no tienen ese freno.

Según Unite.AI, OpenAI enmarca el episodio en lo que llama la "Defender's Window" y comprometió 1.000 millones de dólares en acceso subsidiado para defensores. La Fundación PHP creó un Ecosystem Security Team en mayo de 2026 y, según la misma fuente, ha publicado 15 CVE desde el 1 de julio de 2026 mientras procesaba más de 100 reportes inválidos o duplicados. La divulgación se coordinó con AWS, Google Cloud y Microsoft, según CryptoBriefing.

Qué hacer ahora: checklist para parchear tu stack

• Identifica tus versiones. Actualiza a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 según tu rama. Todas las versiones anteriores dentro de esas ramas están afectadas. Para 7.4, 8.0 y 8.1 —ya sin soporte regular— existen parches específicos.
• Ojo con la fecha límite oculta. Según Unite.AI, PHP 8.2 llega a fin de vida el 31 de diciembre de 2026. Si sigues en esa rama, este es el momento de planificar la migración, no de posponerla.
• Si no puedes actualizar, aísla. La recomendación de INCIBE, la NSA y el FBI es coincidente: un servidor expuesto a Internet que no se puede parchear debe salir de la red hasta estarlo.
• Revisa los registros. Busca procesos de PHP que abran terminales o descarguen archivos de forma inesperada. Si hay indicios de intrusión, aísla el equipo y conserva los logs.
• Pregunta a tu proveedor de hosting. Pide confirmación por escrito de la versión que corre y de la fecha de aplicación del parche. Es una pregunta de una línea que puede ahorrarte un incidente.

Conclusión

PHP2Shell deja tres lecciones. La primera: la IA ya no es una promesa en ciberseguridad, es una herramienta operativa que encontró en una semana un fallo dormido desde 2020. La segunda: el software libre que sostiene infraestructura crítica sigue mantenido por equipos con presupuesto de ONG, y ese desajuste —el mismo que dejó Log4Shell en diciembre de 2021— no se ha resuelto. La tercera, y la más accionable: la diferencia entre una startup que atraviesa el episodio y una que no suele no ser la prevención, sino la velocidad de reacción. Revisa tu stack hoy.

Fuentes

• Xataka (fuente original)
• Moncloa.com
• RTVE
• El Mundo
• Unite.AI
• CryptoBriefing