¿Qué son las fallas PHP2Shell y por qué afectan a casi toda la web?
Dos vulnerabilidades críticas en PHP —el lenguaje que ejecuta cerca del 70% de los sitios web del mundo— obligaron a equipos de todo el planeta a parchear servidores de emergencia el 21 de octubre. OpenAI, Wiz (propiedad de Google) y la startup Calif afirman haberlas encontrado combinando modelos de inteligencia artificial: GPT-5.6 Sol, de OpenAI, y Gemini 4 Argon, de Google.
«Consideramos que este es uno de los problemas de seguridad más importantes de los últimos tiempos», advirtió OpenAI en su blog. Los investigadores de Wiz fueron más lejos: «Estos hallazgos se encuentran entre las vulnerabilidades más graves descubiertas en PHP y, posiblemente, en toda la historia del software».
Las fallas están catalogadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9,2 sobre 10 en la escala CVSS v4.0, y permiten ejecución remota de código sin autenticación, según Help Net Security. La vulnerabilidad vive en el motor de PHP, no en el código de cada sitio: hasta una página mínima montada sobre una versión sin parchear queda expuesta, apunta The Hacker News. Por eso una falla acá no se arregla con un plugin de seguridad.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasEl punto más delicado es la configuración Apache con mod_php, señalada como la de mayor riesgo por los propios mantenedores del lenguaje. En ese escenario, una sola solicitud no autenticada puede disparar el ataque antes de que se ejecute cualquier línea del código de la aplicación, lo que deja fuera de juego a los formularios de login y a los plugins de seguridad, según Hackread. Hay una segunda consecuencia menos obvia: un atacante puede leer memoria del proceso de PHP y encontrar contraseñas, tokens de autenticación, claves de API y certificados de otras solicitudes, sin siquiera llegar a ejecutar código, según The Hacker News.
¿Qué versiones de PHP hay que actualizar y cuáles ya no tienen soporte?
El equipo de seguridad de PHP publicó las versiones corregidas el 21 de octubre. Estas son las primeras que cierran ambas fallas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las distribuciones de Linux y los proveedores de soporte extendido recibieron los parches antes del anuncio, así que conviene revisar el changelog del paquete buscando el identificador CVE en lugar de confiar en el número de versión, según The Hacker News.
PHP 8.1 y anteriores ya no reciben soporte oficial. El equipo publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quienes compilan desde el código o esperan a su proveedor. Además, PHP 8.2 llega a fin de vida el 31 de diciembre de 2026, así que migrar de rama no es una decisión opcional para nadie que planifique a doce meses.
Una advertencia clave para el ecosistema WordPress: actualizar el CMS o sus plugins no actualiza el runtime de PHP que hay por debajo. Wordfence advirtió que las actualizaciones automáticas de WordPress no instalan el parche de PHP y pidió a los dueños de sitios que averigüen quién gestiona el PHP a nivel de servidor, según reportó Odaily.
¿Cuánta infraestructura quedó expuesta?
- Cerca del 70% de los sitios web cuyo lenguaje de servidor se conoce corre sobre PHP, según la estimación de W3Techs, y CyberScoop sitúa la cifra entre el 70% y el 80%. Debajo hay plataformas como WordPress, Drupal, Joomla y Laravel.
- Más de 1,3 millones de hosts expuestos a internet podrían ser vulnerables, y una consulta en Shodan contó alrededor de 1,9 millones, según CyberScoop.
- VirusTotal identificó unos 758.000 servidores corriendo versiones de PHP 5.4 a 8.1 frente a 272.000 en ramas soportadas.
- La firma de seguridad Mallory contó cerca de 884.000 hosts que anunciaban PHP 8.1 o anterior el 20 de octubre: el 59% de los aproximadamente 1,5 millones que revelan su versión, según Odaily.
El impacto se vio en superficies muy visibles. Wikipedia se cayó y la Wikimedia Foundation confirmó que la interrupción estaba ligada a las vulnerabilidades de PHP; Downdetector registró problemas en Asana, GOG, Duolingo, Capital One, Bitbucket, Moodle, Quest Diagnostics, Final Fantasy XIV, War Thunder y el Internet Archive, según Mashable.
En respuesta, agencias de todo el mundo se movieron: el FBI y el GCHQ británico recomendaron instalar las actualizaciones cuanto antes, algunos gobiernos europeos desactivaron sitios temporalmente, y la NSA llegó a recomendar apagar los sitios que usaran PHP, según Odaily. La CISA dijo no tener conocimiento de explotación al momento de publicar su comunicado, mientras watchTowr reportó intentos activos de explotación a las 14:19 UTC del 21 de octubre, sin brechas confirmadas, según The Hacker News.
El margen es corto. Kelly Shortridge, chief product officer de Fastly, advirtió a CyberScoop que para fallas de esta gravedad «la brecha entre la divulgación y la explotación masiva y repetible suele ser de horas a pocos días», y el equipo forense de Sansec esperaba ataques generalizados a los 15 minutos de publicado el parche, según Odaily.
¿Por qué la IA cambió la economía del descubrimiento?
La razón por la que esta falla convivió más de una década con la web sin ser explotada era económica: desarrollar el exploit costaba demasiado. Los investigadores de Wiz explicaron que demostrar el ataque exigía encadenar errores de memoria «notoriamente complejos» que funcionaran en distintas versiones, configuraciones y comportamientos de aplicación. «Esto ya no es una barrera», escribieron. Los modelos de lenguaje adaptan exploits a distintas versiones y diseños de memoria, y usan herramientas de prueba y depuración de terceros, «reduciendo el esfuerzo especializado requerido para cada objetivo». «Esto cambia la economía tanto del descubrimiento como de la explotación», reportó CyberScoop.
La magnitud del atajo es concreta: según The Hacker News, lo que a un equipo de investigadores le habría tomado meses, una sola persona lo resolvió en aproximadamente una semana. Greg Brockman, cofundador de OpenAI, detalló en X que la falla llevaba 14 años en PHP, que una versión menor se detectó en 2024 sin que entonces se la considerara grave, que Calif encontró una versión en agosto y que el equipo de OpenAI encontró una más completa en septiembre, según Mashable. La PHP Foundation confirmó que un desarrollador central había visto los primeros indicios de la falla en la auditoría externa de 2024, pero que la falta de una ruta concreta a la ejecución de código frenó el trabajo durante meses y calificó esa demora como «una falla estructural» de su proceso de decisión.
La coordinación muestra el mismo cambio de escala. OpenAI dijo haber liderado durante dos meses una coalición con mantenedores de PHP, investigadores y empresas de seguridad —con apoyo del Consejo de Seguridad Nacional de la Casa Blanca, la ONCD y la CISA—, y el plan original era revelar todo el 22 de octubre, hasta que una filtración adelantó la publicación un día, según Mashable. La compañía también comprometió US$1.000 millones para acceso subsidiado a sus herramientas de seguridad destinadas a organizaciones que protegen servicios esenciales.
El lado incómodo: la misma capacidad que sirve para defender acelera el ataque. Forbes informó el mes pasado sobre un atacante que usó modelos de Anthropic y DeepSeek para vulnerar más de 100 sitios web y robar más de 600.000 registros de tarjetas de crédito.
¿Qué significa esto para tu startup?
Si tu producto corre sobre PHP —y en el ecosistema hispanohablante eso incluye una enorme cantidad de SaaS, e-commerce y plataformas de contenido en WordPress—, esto no es una noticia de infraestructura ajena. Es una tarea de esta semana.
- Confirma la versión de PHP de tu servidor hoy mismo. No la de tu framework: la del runtime. Si tu hosting es gestionado, pide por escrito la confirmación del parche. Actualizar WordPress, Laravel o Drupal no mueve el PHP que hay debajo.
- Parchea y reinicia los workers. Instalar el paquete no alcanza: hay que reiniciar Apache, PHP-FPM y cualquier proceso PHP de larga duración, porque el estado viejo que queda en memoria es justamente el vector de una de las fallas.
- Si sigues en PHP 8.1 o anterior, trátalo como un proyecto de migración, no como un parche. Esa rama no recibe versiones oficiales. Mientras resuelves, aísla las aplicaciones expuestas a internet, como recomendó CERT-EU.
- Si no puedes parchear ahora, aplica mitigaciones parciales sabiendo que lo son. Desactivar
session.upload_progress.enabled, ajustarmemory_limit, reforzar los límites de tamaño de solicitud y, solo en PHP 8.5, desactivarfatal_error_backtraces, seguido del reinicio de todos los workers. El propio equipo de PHP aclara que ningún cambio de configuración cubre todas las rutas de ataque. - Activa las reglas del WAF. El CTO de Cloudflare, Dane Knecht, confirmó que las reglas están desplegadas para todos los clientes, incluidos los del plan gratuito, pero las describió como una medida provisional, no como sustituto de la actualización.
- Busca señales de compromiso y rota credenciales. Los investigadores sugieren vigilar solicitudes multipart inusuales seguidas de errores de límite de memoria, respuestas HTTP 500 repetidas, cookies PHPSESSID anormalmente grandes y reinicios inexplicables de workers. Si tu proceso estuvo expuesto, asume que claves de API y tokens pudieron filtrarse.
Conclusión
Nadie va a parchear todo internet. El experto en forense Hal Pomeranz lo resumió para Help Net Security: «Hay tantas instalaciones embebidas que nunca se van a parchear. Demasiadas aplicaciones olvidadas y sin mantenimiento. Esto va a tener una cola larga». Para un founder, la lección excede esta semana: el inventario de la propia infraestructura —qué versión corre dónde y quién la mantiene— pasó de ser una tarea de higiene técnica a un riesgo de negocio medible.
Lo llamativo del episodio es el giro: por primera vez a esta escala, la IA encontró las fallas antes que los atacantes, y eso abrió una ventana de dos meses para preparar parches y protecciones. Esa ventana no se repite sola. Los equipos que puedan responder en minutos qué versión de PHP corren y quién la actualiza van a tener una ventaja concreta en cada episodio que venga después, porque OpenAI ya anticipó que este tipo de hallazgos va a aumentar fuerte en los próximos meses.
Fuentes
- Forbes Uruguay: OpenAI afirma que la IA descubrió una de las mayores vulnerabilidades del 70% de los sitios de internet (fuente original)
- CyberScoop: PHP releases emergency fixes for 2 critical vulnerabilities
- The Hacker News: PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws
- Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now
- Hackread: PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities
- Mashable: OpenAI says GPT-5.6-Sol helped find the PHP flaws now shaking the internet
- Odaily en KuCoin: PHP Releases Critical Security Patches for 2 Zero-Day Vulnerabilities Affecting 70% of Websites
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
