PHP2Shell: qué es el fallo que Amazon ya vio explotar cuatro días antes
Amazon detectó un intento de explotación de PHP2Shell cuatro días antes de que las vulnerabilidades se hicieran públicas, y después confirmó que los fallos están "siendo explotados de forma amplia en entornos reales". La revelación es incómoda: cuando la mayoría de las organizaciones se enteró de que tenía que parchear, alguien ya llevaba días probando el ataque.
Los dos fallos, registrados como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación de 9,2 sobre 10 en la escala CVSS v4.0 y permiten ejecución remota de código sin autenticación. Traducido: un atacante puede enviar comandos a un servidor PHP y hacer que los ejecute, sin usuario, sin contraseña y sin permisos previos.
La NSA fue tajante: los fallos "a menudo ofrecen un camino directo al sistema de archivos o a la base de datos del servidor". Si actualizar no es viable de inmediato, la agencia recomienda desconectar el sistema. El NCSC británico agregó que la vulnerabilidad permite a un atacante "tomar el control del servidor de un sitio web sin necesidad de contraseña ni otras credenciales de acceso".
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasPor qué esto te toca aunque no seas una empresa de tecnología
PHP no es un detalle de infraestructura. Según la estimación de Wiz —la firma propiedad de Alphabet que descubrió los fallos junto a Calif—, el lenguaje mueve cerca del 70% de los sitios web del mundo. WordPress, el CMS que según ComputerWorld da servicio al 43% de la web, está escrito principalmente en PHP y depende de él para funcionar.
Eso significa que el inventario de tu startup casi seguro incluye PHP aunque nadie del equipo lo haya instalado a propósito: el sitio corporativo, la tienda, un plugin olvidado, un panel interno, el software de facturación, la herramienta del proveedor de RRHH.
La reacción institucional lo confirma. Según RTVE, Alemania retiró páginas del proveedor federal ITZBund, Francia desactivó temporalmente las webs de las prefecturas, y Bélgica, Países Bajos, Finlandia y Chequia tomaron medidas similares. En España, INCIBE emitió una alerta de importancia crítica. No es un problema de una empresa: es un problema de la web entera.
El impacto tampoco termina en los sitios web. El NCSC-NL advirtió que PHP también está integrado en aparatos, dispositivos de red e interfaces de gestión donde los administradores quizá no puedan actualizarlo directamente, y CERT-EU sumó que muchos productos comerciales usan PHP como tecnología de backend aunque no expongan una instalación visible.
Qué versiones tienes que actualizar hoy mismo
La Fundación PHP publicó los parches de emergencia el miércoles 21 de octubre, adelantándose 24 horas al calendario previsto porque los detalles se filtraron antes, según CNBC. Las versiones corregidas, detalladas por INCIBE y confirmadas por la documentación del proyecto, son:
- PHP 8.5.12 para la rama 8.5
- PHP 8.4.27 para la rama 8.4
- PHP 8.3.36 para la rama 8.3
- PHP 8.2.35 para la rama 8.2
Cualquier versión anterior dentro de esas ramas está expuesta. Y aquí viene el dato que más duele a una startup con recursos limitados: PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto. Para las ramas 7.4, 8.0 y 8.1 se publicaron parches retroportados, pero la recomendación formal es migrar a una rama mantenida.
El tamaño del problema sin parchear quedó retratado en un conteo que publicó The Hacker News: la firma Mallory identificó alrededor de 884.000 hosts expuestos a Internet que reportaban PHP 8.1 o anterior al buscador Shodan, el 59% de los aproximadamente 1,5 millones de hosts que reportaban alguna versión. El conteo es de banners, no de sistemas confirmados como afectados, pero da la magnitud.
¿Por qué esta vez fue tan rápido?
Porque la IA cambió la aritmética. OpenAI confirmó que el equipo de Calif encontró los fallos usando GPT-5.6 Sol, mientras que los investigadores de Wiz usaron su agente Wiz Atlas junto a Gemini 4 Argon y el mismo modelo de OpenAI. La compañía fue explícita: "Hasta donde sabemos, la IA de frontera encontró estas vulnerabilidades antes que los atacantes".
Neatsun Ziv, CEO de Ox Security, puso número al cambio: el tiempo que tardaban los atacantes en encontrar un exploit nuevo y desplegarlo contra todo Internet "solía ser de semanas, bajó a días y, a partir de la era Mythos de abril de 2026, bajó a horas".
El lado ofensivo está igual de apalancado. Matt Suiche, investigador de la firma Tolmo, contó a CNBC que su equipo logró reproducir un exploit funcional en menos de un día, algo que antes les habría tomado "varias semanas". El antecedente lo respalda: cuando se hizo público CVE-2024-4577 en junio de 2024, Akamai registró intentos de explotación contra sus servidores trampa en menos de 24 horas.
¿Qué significa esto para tu startup?
1. Haz inventario antes de parchear. No basta con revisar el sitio corporativo. Forrester lo advierte: hay que determinar dónde está expuesto PHP y priorizar los sistemas conectados a Internet. Ese inventario incluye lo que no parece web: aparatos de red, interfaces de administración, paneles como cPanel o Plesk, y software que lleva PHP embebido.
2. Verifica el número completo, no la rama. Si usas hosting compartido o gestionas WordPress desde un panel, busca la versión exacta (por ejemplo 8.3.36, no "8.3"). Muchos proveedores la actualizan por ti, pero otros solo muestran la rama. Si tienes dudas, escribe a soporte y pregunta si aplicaron el parche del 21 de octubre.
3. Si no puedes actualizar, aísla. La instrucción es consistente en la NSA, el FBI, el NCSC-NL y CERT-EU: si un servidor expuesto no se puede parchear, sácalo de la red pública o ponlo detrás de una VPN o un WAF hasta que puedas. Como resume la analista de Forrester Madelein van der Hout, desconectar es una "decisión de riesgo proporcionada": se acepta una caída breve antes que un compromiso grave, y apagar un servicio no implica que te hayan hackeado.
4. Revisa logs, no solo parches. Un parche cierra la vulnerabilidad, no borra el acceso que un atacante ya haya podido instalar. Vigila procesos PHP que abran shells, descarguen archivos o lancen intérpretes; busca web shells, archivos nuevos en la raíz del sitio y tareas programadas desconocidas.
5. Desconfía del paquete que ya tenías. Según ComputerWorld, la Fundación PHP advirtió que quienes dependen de los repositorios de rpms.remirepo.net, mantenidos por voluntarios, deberían cambiar a paquetes de distribución o compilar desde el código fuente.
La advertencia que casi nadie está leyendo
Vale la pena contrastar dos versiones. Elizabeth Barron, directora ejecutiva de la Fundación PHP, declaró que no hay "evidencia de exploits funcionales, solo generados, incompletos y que no funcionan". Amazon, en cambio, reportó explotación masiva.
La contradicción tiene una explicación incómoda: la Fundación admitió que el retraso en corregir el problema —el mismo que un investigador había reportado dos años antes— fue una "falla estructural, causada por el proceso de decisión del equipo de seguridad y su falta de recursos". Es la historia de siempre en el software que sostiene Internet: mantenido por pocas personas, usado por todos.
Y hay un detalle que cualquier founder debería tener presente. Como señaló Ziv, si tu organización no tenía instalada una plataforma de seguridad de aplicaciones antes del intento de ataque, es muy probable que no puedas ver las solicitudes sospechosas en tus servidores. En muchos casos, la única forma de enterarse es ver los datos propios a la venta en la dark web.
Conclusión
PHP2Shell no es solo una nota de ciberseguridad: es un recordatorio de cuánta infraestructura de tu startup es invisible hasta que falla. Dos fallos con puntuación 9,2 en el lenguaje que mueve el 70% de la web, encontrados con IA y explotados antes de que el parche estuviera disponible.
La acción es concreta y tiene fecha: verifica tu versión de PHP hoy, prioriza lo que está expuesto a Internet y, si no puedes actualizar, desconecta. La superficie de ataque de una startup no se mide por lo que su equipo construyó, sino por todo lo que heredó.
Fuentes
- Hackers got a four-day head start on epic PHP2Shell vulnerability - Ars Technica
- Why governments pulled websites offline over the decades-old PHP programming language - CNBC
- PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws - SecurityWeek
- PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) - The Hacker News
- Dos fallos críticos de PHP ponen en alerta a Internet - ComputerWorld España
- Alerta mundial por dos fallos críticos en PHP - RTVE
- PHP2Shell es una vulnerabilidad crítica para tu web - Xataka
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
