PHP2Shell: hackers ya explotan los fallos críticos de PHP

CISA confirma que los atacantes ya están dentro

CISA, la agencia de ciberseguridad del gobierno de Estados Unidos, confirmó que los atacantes están explotando de forma activa dos vulnerabilidades críticas de PHP y ordenó a las agencias federales civiles parchear sus sistemas en un plazo de tres días. El dato que debería encender todas las alarmas: PHP mueve cerca del 70% de los servidores web del planeta.

La advertencia llega menos de una semana después de que el proyecto PHP publicara los parches. Los fallos permiten a un atacante entrar en un sistema vulnerable de forma remota, por internet y sin necesidad de contraseñas. La gravedad fue tal que algunos gobiernos y grandes empresas optaron por apagar sus sitios mientras aplicaban la corrección. CISA no dio detalles sobre quién está explotando los bugs.

Para un founder, la lectura es incómoda: si tu producto corre sobre WordPress, un CMS clásico, un panel de administración o cualquier stack LAMP, tu infraestructura depende de un componente que acaba de convertirse en objetivo masivo.

¿Qué son exactamente los fallos PHP2Shell?

Los dos bugs se conocen como PHP2Shell y están registrados como CVE-2026-109618 y CVE-2026-109619. Según el análisis técnico recogido por unite.ai, el primero es una ejecución remota de código por corrupción de memoria en el manejo de errores de memoria agotada; el segundo, una ejecución remota de código por estado global obsoleto. Ambos fueron calificados con 9.2 sobre 10 en la escala CVSS v4.

Los parches son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, publicados el 21 de octubre. Afectan a todas las instalaciones que sirven peticiones web: PHP-FPM, Apache con modphp, php-cgi, FrankenPHP y LiteSpeed. El riesgo es máximo en modphp, donde un atacante puede disparar el fallo con una petición no autenticada antes de que se ejecute una sola línea de tu aplicación.

El alcance es enorme. Wiz y Calif sitúan las versiones afectadas desde PHP 5.4, es decir, más de una década de lanzamientos. El proyecto publicó parches retroportados para las ramas 7.4, 8.0 y 8.1 —que ya no reciben soporte— y advirtió que PHP 8.2 llega a fin de vida el 31 de diciembre de 2026.

La IA encontró en semanas lo que llevaba años dormido

El detalle más relevante para el ecosistema tech no es el bug, sino cómo apareció. Según unite.ai, la firma de seguridad Calif identificó el fallo con ayuda del modelo GPT-5.6 Sol de OpenAI, en el marco de la iniciativa Patch the Planet. Wiz llegó a los mismos dos fallos de forma independiente usando Wiz Atlas, Gemini 4 Argon y el mismo modelo de OpenAI.

No fue un hallazgo casual. La raíz del problema se conocía desde hace años: Calif documenta que el primer fallo de memoria de PHP se reportó en 2004, que en 2020 se reportó un bug de condición de memoria agotada y que una auditoría de 2024 de OSTIF y Quarkslab, financiada por la Sovereign Tech Agency, redescubrió el problema sin llegar a demostrar explotación. La Fundación PHP lo admitió sin matices: el retraso fue un fallo estructural.

Ahí está el cambio de regla del juego. Vulnerabilidades que durante años se consideraron no explotables en la práctica pasaron a serlo cuando un modelo de IA las encadenó. OpenAI sostiene que la IA frontera encontró los fallos antes que los atacantes, algo que llama la ventana del defensor, y comprometió US$1.000 millones en acceso subsidiado a su programa Daybreak para defensores con pocos recursos.

El parche llegó tarde y el embargo se rompió

La cronología explica por qué el pánico fue global. The Verge reporta que Amazon Threat Intelligence detectó un intento de explotación el 17 de octubre, días antes de que existiera el parche, a través de un honeypot. El 20 de octubre los identificadores CVE empezaron a circular en foros y redes antes de la divulgación coordinada; Chainguard rompió el embargo el 21 de octubre publicando imágenes con la corrección, y Calif publicó por error un video con su prueba de concepto.

Después del anuncio, la explotación se volvió industrial. SecurityWeek reporta que el investigador Adel Karimi registró 35 shells lanzados en tres honeypots el 24 de octubre, con una cadena de cuatro peticiones HTTP que coincide con un proof-of-concept público. CISA añadió ambos CVE a su catálogo de vulnerabilidades explotadas el 26 de octubre.

Cloudflare observó miles de intentos de explotación en las diez horas previas al anuncio, decenas de miles en los primeros 45 minutos, cientos de miles en dos horas y millones poco después, según recoge Telesur English. En España, INCIBE reportó que alrededor del 12% de las administraciones públicas y empresas estaban recibiendo intentos de ataque vinculados a los fallos.

La reacción institucional fue inédita: CERT-EU y el NCSC británico recomendaron sacar sistemas de línea si no se podían parchear; la NSA emitió su propia alerta. Pinboard, el foro de GrapheneOS y OBS retiraron partes de sus sitios, y Laravel detuvo sus despliegues en Cloud mientras reconstruía sobre imágenes parcheadas, según The Next Web. En Japón, Nomura, Mitsubishi UFJ, ANA, JR East y Tokio Marine suspendieron temporalmente algunos servicios.

¿Qué significa esto para tu startup?

Tres lecciones concretas.

Primero: tu superficie de ataque es más grande de lo que crees. No es solo tu código. Son tus contenedores Docker con tags antiguos, tu hosting gestionado, el plugin de WordPress que nadie actualizó, el panel de phpMyAdmin que dejaste expuesto. Calif confirmó ejecución remota pre-autenticación en WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 y Symfony 8.1, según el informe recogido por unite.ai.

Segundo: los secretos que creías seguros pueden haberse filtrado. Los fallos incluyen divulgación de memoria del worker de PHP, que puede contener contraseñas, tokens de autenticación, claves de API y certificados. Parchear no basta: hay que rotar credenciales.

Tercero: la ventana entre divulgación y explotación ya es de horas, no de semanas. El caso de PHP2Shell es el segundo episodio en meses: The Next Web recuerda que los bugs masivamente explotados de WordPress llegaron en julio.

Acciones concretas para hoy

• Verifica tu versión. Ejecuta php -v en cada servidor y contenedor. Si no estás en 8.5.12, 8.4.27, 8.3.36 o 8.2.35, actualiza ya.
• Si no puedes parchear en horas, aísla. El propio proyecto PHP advierte que no existe una mitigación completa: actualizar es la única opción segura. Como puente, activa reglas de WAF (Cloudflare las habilitó para todas sus cuentas, incluidas las gratuitas) o saca el servicio de internet.
• Rota credenciales después de parchear. Claves de API, tokens de sesión, contraseñas de base de datos y certificados que hayan pasado por un worker expuesto.
• Audita tu cadena de dependencias. Revisa imágenes base de Docker, librerías de terceros y proveedores de hosting gestionado. Pregunta explícitamente a tu proveedor qué versión de PHP corre por debajo.
• Instrumenta detección. CISA publicó una regla Sigma en su alerta y OpenAI liberó un verificador de versiones de PHP como skill de Codex en el repositorio openai/php2shell-checker.
• Si construyes sobre open source, financia lo que usas. La Fundación PHP —que creó un equipo de seguridad de ecosistema en mayo de 2026 y ha publicado 15 CVE desde el 1 de julio— pidió patrocinio explícito a empresas, proveedores de hosting, nubes y gobiernos.

Conclusión

PHP2Shell no es solo una alerta de parcheo. Es la demostración de que la IA está comprimiendo el tiempo entre vulnerabilidad latente y explotación masiva, y de que la infraestructura que sostiene la web depende de proyectos con financiamiento escaso. Para un founder, la conclusión práctica es simple: trata la actualización de dependencias como una función del producto, no como una tarea de mantenimiento. Y si tu negocio corre sobre PHP, hoy es el día para revisar cada servidor.

Fuentes

• TechCrunch (fuente original)
• The Verge
• SecurityWeek
• unite.ai
• The Next Web
• Telesur English