PHP2Shell: dos fallos de 9,2 sobre 10 dentro del propio lenguaje
PHP2Shell agrupa dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9,2 sobre 10 en CVSS. No están en un plugin ni en una aplicación concreta: están en partes centrales del runtime de PHP vinculadas a la gestión de memoria y al manejo de errores. Eso cambia por completo el perímetro del problema.
Según Help Net Security, las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La lista de configuraciones afectadas incluye PHP-FPM, Apache con modphp, php-cgi, FrankenPHP y LiteSpeed: cualquier instalación que sirva peticiones web. Los despliegues con modphp son los de mayor riesgo, porque se demostró un ataque que funciona antes de que se ejecute una sola línea del código de la aplicación.
Hackread detalla el mecanismo de cada fallo. El primero interrumpe PHP por agotamiento de memoria mientras los datos internos de la petición están solo parcialmente inicializados, y la rutina de limpieza acaba tratando esos datos inválidos como válidos. El segundo permite que el estado interno de una petición sobreviva después de que su memoria se liberó, de modo que una petición posterior atendida por el mismo worker lo use antes de reinicializarse.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasLa escala del asunto la da un dato de W3Techs recogido por CoinPedia: PHP impulsa aproximadamente el 69% de los sitios web. Un fallo en el runtime, y no en una aplicación, es un fallo en la base sobre la que se apoya buena parte de internet.
La cronología: cómo se rompió el embargo
La historia empieza en agosto. El 11 de agosto, Calif notificó al equipo de PHP una vía de ejecución remota de código vinculada a un problema que los mantenedores ya habían observado en 2024, y OpenAI llegó de forma independiente a la misma causa. Wiz arrancó su investigación el 19 de agosto y comunicó sus hallazgos el 24.
La inteligencia artificial tuvo un papel relevante en varias de esas investigaciones, tanto en el descubrimiento como en el desarrollo y la validación de cadenas de explotación extremadamente complejas. Wiz lo resumió así para Help Net Security: los fallos "se encuentran entre las vulnerabilidades más graves descubiertas en PHP, y posiblemente en la historia del software", y los modelos de IA de frontera "redujeron sustancialmente esa barrera". OpenAI afirmó, según Hackread, que Calif identificó el fallo usando GPT-5.6 Sol dentro de su iniciativa Patch the Planet; Calif, a su vez, atribuyó el primer hallazgo y el desarrollo de un exploit funcional al investigador independiente @lcfr_hax.
El embargo se torció el 20 de octubre. Alrededor de las 15:00 UTC empezaron a circular los identificadores de los dos CVE, sin detalles técnicos y con información incorrecta, lo que llevó al proyecto a adelantar un día la publicación prevista. Después apareció por error un vídeo de Calif con una demostración limitada y, el 21 a las 07:41 UTC, Chainguard publicó imágenes que ya incorporaban la corrección antes de que terminara el embargo.
El intento del 17 de octubre: la pieza que no encaja
Amazon Threat Intelligence asegura que su red MadPot registró el 17 de octubre un intento de explotación, cuatro días antes de la divulgación coordinada y de la publicación de los parches. MadPot no es un servidor de producción comprometido, sino una red de honeypots: sistemas señuelo que Amazon expone para atraer actividad maliciosa y observar cómo se comportan quienes intentan atacarlos.
El intento procedía de una IP asociada a una red comercial de anonimización, uno de los indicios por los que la compañía considera probable que detrás hubiera un actor malicioso. Esa telemetría demuestra que el intento existió, pero no que una web real llegara a ser vulnerada. Y queda una pregunta abierta: cómo obtuvo ese actor información sobre el exploit antes de que fuera pública.
Para Amazon, la consecuencia práctica está en otro lugar: las organizaciones deberían revisar sus registros al menos desde el 17 de octubre, no únicamente desde la publicación del aviso.
Millones de intentos en 45 minutos
Lo que vino después es más fácil de seguir y también más elocuente. Cloudflare pasó de registrar miles de intentos en las diez horas previas al anuncio a decenas de miles en los primeros 45 minutos, cientos de miles en dos horas y finalmente millones, según las cifras que su CEO, Matthew Prince, publicó y que recogió Reuters.
Cloudflare desplegó reglas de WAF para los vectores conocidos, disponibles para todos los clientes, incluido el plan gratuito, según su CTO Dane Knecht. Aun así, la compañía insiste en que el parche sigue siendo necesario.
El impacto institucional fue inmediato. Analytics Insight reporta que sitios gubernamentales en Europa y otras regiones quedaron fuera de línea el 21 de octubre, y que Mitsubishi UFJ Financial Group suspendió temporalmente algunos servicios de internet en Japón. El FBI pidió instalar los parches o sacar los sistemas de línea, y el NCSC británico recomendó considerar la desconexión de cualquier sistema que no pueda corregirse de inmediato.
En el frente corporativo, Help Net Security recoge que Palo Alto Networks confirmó que todas las versiones de PAN-OS y Panorama están afectadas y que aún no ha publicado versiones corregidas, mientras Fortinet revisa 12 productos y Cisco 31 productos y servicios cloud sin haber confirmado todavía ninguno vulnerable.
¿Qué significa esto para tu startup?
Si tu producto corre sobre PHP, este no es un problema de otro. El investigador Kevin Beaumont lo calificó para Help Net Security como "una de las mayores vulnerabilidades en años", y el experto en forense Hal Pomeranz advirtió que hay demasiadas instalaciones embebidas y aplicaciones olvidadas que nunca se parchearán: "habrá una cola larga con esta".
La buena noticia es que la ventana de acción todavía existe, pero se cierra rápido. Estas son las acciones que puedes ejecutar hoy:
- Haz inventario antes de parchear. No basta con saber que usas PHP: necesitas la versión exacta por entorno (producción, staging, workers, contenedores, cron jobs). El fallo vive en el runtime, así que cualquier proceso que sirva peticiones web cuenta.
- Si usas hosting gestionado, exige confirmación por escrito. Actualizar WordPress, sus plugins o el tema no reemplaza el parche del runtime de PHP. Pide a tu proveedor la versión exacta que corre tu instancia.
- Revisa los logs desde el 17 de octubre, no desde el 21. Es la recomendación explícita de Amazon y la única forma de detectar si alguien llegó antes que el resto.
- Si no puedes parchear hoy, aplica mitigaciones temporales y asume el riesgo. Los avisos oficiales mencionan desactivar el progreso de subida de sesión y, en PHP 8.5, los backtraces de errores fatales, seguido de reiniciar todos los workers de PHP. Los propios mantenedores advierten que ningún cambio genérico de configuración cubre todas las rutas y que ocultar los mensajes de error no evita la explotación.
- Mide tu exposición con una herramienta, no con una intuición. Searchlight Cyber publicó php2shell-scanner, una utilidad de código abierto que comprueba si un host es vulnerable a los dos CVE.
Hay una lección de fondo que va más allá de este incidente. La IA bajó el costo de encontrar y armar exploits complejos, y eso significa que el tiempo entre el descubrimiento y la explotación masiva se está comprimiendo. Para un equipo pequeño, la defensa ya no puede depender de reaccionar rápido cuando sale la noticia: depende de tener el inventario de tu infraestructura a mano y de un proceso de parcheo que no requiera una reunión de emergencia para arrancar.
Fuentes
- Xataka: Los fallos críticos de PHP acaban de hacerse públicos (fuente original)
- Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now!
- SecurityWeek: PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
- Hackread: PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities
- CoinPedia vía KuCoin: PHP Vulnerabilities Trigger Millions of Attacks
- Analytics Insight: Cloudflare Reports Millions of PHP Exploit Attempts
- The News: PHP security vulnerability triggers millions of exploit attempts
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
