Qué es PHP2Shell y por qué tiene en alerta a medio internet
Dos vulnerabilidades en el lenguaje PHP —que, por algunos cálculos, sostiene hasta el 70% de los sitios web— obligaron a bajar temporalmente a 4chan y DeviantArt, y generaron problemas en plataformas como Wikipedia y el Internet Archive. La firma de seguridad Wiz las describió como "entre las vulnerabilidades más severas descubiertas en la historia del software".
Para un founder, la lectura es directa: si tu producto corre sobre WordPress, Drupal, Magento o cualquier stack PHP, esto no es una noticia de terceros. Es tu infraestructura. Y no es un nicho: WordPress por sí solo impulsa alrededor del 43% de la web, según InfoWorld.
Las fallas están registradas como CVE-2026-109618 y CVE-2026-109619, y la comunidad de seguridad las bautizó PHP2Shell. Ambas son de ejecución remota de código (RCE) y cada una tiene una calificación de 9.2 sobre 10 en la escala CVSS v4.0, según el aviso oficial del equipo de PHP.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días¿Por qué una falla de hace 20 años se volvió crítica ahora?
El bug no es nuevo: según The Verge, la vulnerabilidad existe en prácticamente todas las versiones de PHP de los últimos 20 años. Lo que cambió es la capacidad de explotarla.
Según Wiz, aprovecharla exigía "una cadena de pasos excepcionalmente compleja, al límite de lo que un investigador humano podía lograr en la práctica". Los modelos de IA cambiaron esa ecuación.
OpenAI explicó que la organización de red-teaming Calif identificó una de las fallas usando GPT-5.6 Sol, dentro de su iniciativa Patch the Planet, y publicó un verificador de versiones de PHP como skill de Codex. Ami Luttwak, cofundador del equipo de seguridad Wiz de Google, dijo al Wall Street Journal que se trata de "la vulnerabilidad de IA más severa que se haya encontrado".
El detalle incómodo: la misma capacidad que permitió encontrar el bug antes que los atacantes también acelera la creación de exploits. Matt Saunders, DevOps lead de The Adaptavist Group, advirtió en InfoWorld que "en cuanto se anuncia la vulnerabilidad, legiones de bots de IA salen a buscar sistemas que explotar".
Qué versiones están en riesgo y cuáles ya tienen parche
El parche de emergencia se liberó el 21 de octubre de 2026 a las 14:00 UTC, según Hackread. Las versiones corregidas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Los entornos afectados incluyen PHP-FPM, Apache con modphp, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto está en modphp de Apache, donde un atacante puede ejecutar código antes de que corra el propio código de la aplicación.
El problema de fondo: PHP 8.1 y anteriores están fuera de soporte. El equipo de PHP publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1, pero las ramas más viejas no reciben corrección oficial.
Y son muchas. Mallory contó unos 884.000 hosts expuestos a internet que reportaban PHP 8.1 o anterior a Shodan el 20 de octubre: el 59% de los aproximadamente 1,5 millones de hosts que reportaban alguna versión, según The Hacker News. Por su parte, Palo Alto Networks Cortex Xpanse identificó más de 22,6 millones de servidores expuestos con software PHP potencialmente vulnerable, según Clarín.
Los sitios que ya cayeron (y los que no volverán)
La lista de bajas es larga y variada. El Internet Archive estuvo brevemente offline; su equipo lo parcheó rápido y volvió a estar en línea. El bibliotecario digital Brewster Kahle agradeció en Mastodon: "Dada la gravedad, hay héroes en muchísimas organizaciones".
También cayeron sitios de gobierno en Países Bajos y Finlandia, y Pokémon Home y Pokémon Champions quedaron fuera de línea, según Kotaku. La agencia neerlandesa NCSC-NL bajó su propio portal como precaución, y CERT-EU recomendó considerar el aislamiento de las aplicaciones expuestas a internet.
El caso más doloroso para la memoria de internet: dos juegos móviles japoneses, World Quest y Save My Demonic World, anunciaron su cierre definitivo. Llevaban más de una década funcionando sobre tecnología que no puede actualizarse. No hay parche posible para ellos.
En el frente de los ataques, Cloudflare reportó miles de intentos de explotación en las 10 horas previas al anuncio público, "cientos de miles" en las 2 horas posteriores y "millones" al final del día, según su CEO Matthew Prince. La compañía desplegó reglas de WAF para todos sus clientes, incluido el plan gratuito, aunque las describió como un paliativo.
¿Qué significa esto para tu startup?
Tres lecciones operativas.
Primero: el parche no es un update de WordPress. Es el error más común. Actualizar el CMS, los plugins o el tema no toca el runtime de PHP del servidor. Wordfence advirtió que las actualizaciones automáticas no aplican esta corrección. Si usas hosting compartido o gestionado, tienes que confirmar con tu proveedor que el PHP del servidor ya está parcheado.
Segundo: el inventario es el verdadero problema. Madelein van der Hout, analista senior de Forrester, lo dijo en InfoWorld: "revisar solo el sitio corporativo no alcanza. Las organizaciones necesitan establecer dónde están expuestas y priorizar los sistemas de cara a internet". PHP no vive solo en tu web: está embebido en appliances, paneles de control como cPanel y Plesk, y productos de terceros.
Tercero: la ventana de exposición ya se abrió. El parche existe, pero un parche no elimina el acceso que un atacante ya pudo establecer. Como señaló van der Hout, "un parche corrige la vulnerabilidad; no necesariamente elimina el acceso que un atacante ya pudo haber establecido".
Acciones concretas para hoy
- Verifica tu versión de PHP. Entra al panel de tu hosting (cPanel, Plesk o el portal del proveedor) y revisa el gestor de versiones. Si estás en 8.2, 8.3, 8.4 u 8.5, actualiza al punto release corregido. Si estás en 8.1 o anterior, no hay parche oficial: migra o aísla el sistema.
- Abre un ticket con tu proveedor de hosting. Pregunta explícitamente si el runtime de PHP del servidor ya fue actualizado. No te conformes con un "estamos al tanto".
- Descarga un backup completo fuera del servidor. Archivos y base de datos, en un disco externo o en la nube. Si hay una intrusión antes del parche, necesitas una copia limpia desde la cual restaurar.
- Revisa procesos anómalos. La explotación suele verse como un worker de PHP lanzando una shell, un intérprete o una herramienta de descarga. Si detectas algo, aísla el servidor, preserva los logs y busca webshells y archivos nuevos en la raíz web.
- Activa 2FA en tus cuentas críticas. Un servidor PHP comprometido puede exponer bases de datos y sesiones de usuario. El segundo factor evita que una credencial filtrada sea suficiente para entrar.
Conclusión
PHP2Shell es el recordatorio más caro del año de algo que los founders suelen delegar: la infraestructura no se audita sola. Un lenguaje que casi nadie mira, con un bug de 20 años, paralizó sitios de gobierno, borró del mapa dos juegos con una década de historia y puso a Cloudflare a pelear contra millones de intentos en cuestión de horas.
La buena noticia es que la respuesta es concreta y ya está disponible. La mala: solo cubre a quien tenga sus sistemas identificados y actualizados. Si no sabes qué versión de PHP corre tu producto, hoy es el día para averiguarlo.
Fuentes
- The Verge: PHP, the three little letters wreaking havoc across the web
- Hackread: PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities
- InfoWorld: Two critical PHP flaws put the web on alert as emergency patches arrive
- Clarín: PHP vulnerability 2026 explained
- The Hacker News: PHP2Shell, Two Unpatched Critical PHP RCE Flaws
- Techaeris: PHP2Shell, The Emergency PHP Patch Is Out
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
