PHP2Shell: la falla que expuso al 70% de la web

Dos fallas en el lenguaje que sostiene el 70% de la web

El PHP Foundation, la organización que mantiene el lenguaje PHP, liberó parches de emergencia el miércoles 21 de octubre de 2026 para dos vulnerabilidades críticas bautizadas como PHP2Shell: la CVE-2026-109618 y la CVE-2026-109619, ambas con una severidad de 9,2 sobre 10 en la escala CVSS v4.0 según los avisos oficiales del proyecto.

El alcance explica la magnitud del episodio. Según las estadísticas de W3Techs sobre lenguajes de servidor identificables, cerca del 70% de los sitios web del mundo funciona con PHP. Por eso, durante horas, bancos, minoristas, tiendas online, sitios de gaming, hospitales y algunas agencias de gobierno sacaron sus servidores de línea mientras aplicaban las correcciones. La firma de ciberseguridad Wiz, que participó en la investigación, tituló su análisis con una cifra redonda: vulnerabilidades de ejecución remota de código que afectan al 70% de internet.

Para un founder, el detalle incómodo es este: no es un fallo de WordPress, ni de un plugin, ni del framework con el que está hecho el sitio. El problema vive en el runtime de PHP, el componente compartido sobre el que corren todos esos sistemas a la vez.

¿Qué permite hacer exactamente PHP2Shell?

• Ejecución remota de código sin autenticación. Un atacante puede lanzar código propio en un servidor vulnerable con una simple petición, sin contraseña ni credenciales, y sin que la víctima tenga que abrir un archivo ni hacer clic en un enlace.
• Corrupción de memoria al manejar el fin de memoria disponible (CVE-2026-109618). Cuando una petición alcanza el límite de memoria configurado, PHP interrumpe el procesamiento dejando datos internos a medio inicializar; la rutina de limpieza los trata después como si fueran válidos.
• Estado obsoleto con referencias liberadas (CVE-2026-109619). El estado interno de una petición queda referenciado después de que su memoria ya fue liberada, y una petición posterior atendida por el mismo worker puede operar sobre esos restos.

Los entornos afectados son todos los que procesan peticiones web: PHP-FPM, Apache modphp, php-cgi, FrankenPHP y LiteSpeed. El proyecto considera modphp como el despliegue de mayor riesgo, porque existe una prueba de concepto que ataca antes de que se ejecute una sola línea del código de la aplicación. Según Wiz, prácticamente todas las versiones de PHP desde la 5.4 están alcanzadas por al menos una de las dos fallas.

¿Qué versiones ya tienen parche y cuáles quedaron afuera?

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las distribuciones de Linux y los proveedores de soporte extendido recibieron los parches con antelación para poder integrarlos en sus paquetes.

El problema es que la corrección oficial cubre solo las cuatro ramas soportadas. PHP 8.1 y anteriores quedaron fuera del ciclo normal de actualizaciones: el equipo publicó arreglos mínimos de código fuente para 7.4, 8.0 y 8.1, pensados para quien compila desde cero o depende de un backport de su distribución o proveedor de soporte extendido.

Ese recorte deja una base enorme expuesta. Alrededor del 48% de los sitios que corren PHP usa la versión 8.1 o anterior, según el análisis de datos de W3Techs publicado por el blog técnico AI TREND LAB. Y el calendario aprieta todavía más: el soporte de la rama 8.2 termina el 31 de diciembre de 2026, así que los sitios que hoy están en esa versión también quedarán sin soporte oficial en pocos meses.

Un matiz importante para no alarmar de más: los datos de W3Techs son estimaciones basadas en la versión que cada sitio expone públicamente, y algunas distribuciones entregan paquetes con el número de versión viejo pero con los parches incorporados. Un número antiguo no equivale automáticamente a un sistema vulnerable.

¿Por qué una falla detectada en 2024 no se arregló entonces?

Los primeros indicios de la raíz del problema aparecieron en 2024, durante una auditoría externa de seguridad del código de PHP financiada por la Sovereign Tech Agency, una agencia vinculada al gobierno alemán. En ese momento no existía una ruta de explotación concreta, y el trabajo se detuvo y reinició varias veces a lo largo de los meses.

El PHP Foundation describió después ese parate como una falla estructural de su proceso de decisión en materia de seguridad. La razón técnica es razonable: ambas vulnerabilidades viven en la gestión de memoria y el manejo de errores, zonas por las que pasa casi cualquier petición. Cualquier corrección podía romper la compatibilidad hacia atrás, introducir nuevos riesgos de caída o exigir cambios coordinados en extensiones de terceros.

Ese es el dilema clásico del software fundacional: la misma compatibilidad que hace que un plugin de WordPress escrito hace una década siga funcionando hoy es la que convierte un arreglo urgente en un proyecto de ingeniería de meses.

¿Qué papel jugó la IA en el descubrimiento?

La firma de seguridad Calif encontró una ruta de explotación durante el verano de 2026, en el marco de la iniciativa Patch the Planet de OpenAI y la firma de seguridad en la nube Wiz. OpenAI señaló que Calif utilizó su modelo GPT-5.6 Sol para dar con la falla crítica, mientras que Wiz reportó su propia ruta de ataque. Los reportes se encadenaron entre agosto y septiembre de 2026 y dejaron en claro la magnitud del impacto.

Conviene matizar el relato de que la IA encontró el bug sola. En su propio análisis, Calif aclaró que ningún modelo es capaz de desenterrar todos los bugs con prompts simples, y que la mayor parte del trabajo se apoyó en conocimiento previo sobre el código y el historial de explotación de PHP. Lo que sí cambió es la economía del hallazgo: Wiz sostiene que una tarea que antes le habría llevado meses a un equipo de élite puede resolverse en una semana con asistencia de IA.

El efecto secundario ya se nota del lado del mantenimiento. El PHP Foundation admite que recibe muchos más reportes que antes: desde el 1 de julio publicó 15 CVE y procesó más de 100 reportes que resultaron inválidos, duplicados o no reproducibles. La IA abarata encontrar fallas, pero las decisiones de diseño y los parches los siguen firmando personas, y no hay suficientes.

¿Hubo ataques antes de que salieran los parches?

Sí, y es la parte más incómoda del episodio. Amazon, que tiene visibilidad sobre amenazas por su escala, detectó un intento de explotación de PHP2Shell cerca de una semana antes de que los parches estuvieran disponibles, e indicó que los equipos de defensa deberían buscar evidencia de actividad desde el 17 de octubre. El dato llegó a través del reporte de The Verge recogido por medios especializados.

Además, el número CVE se filtró en foros el 20 de octubre, un día antes de la fecha prevista, y el PHP Foundation tuvo que adelantar la publicación. Uno de los proveedores que había recibido el parche por adelantado publicó su imagen con la corrección más de seis horas antes del anuncio oficial, según consigna AI TREND LAB. La fundación responsabilizó a una empresa por haber adelantado los parches, aunque eso no explica la actividad detectada una semana antes.

Los indicios de abuso se acumulan. watchTowr reportó explotación de ambas fallas en sus honeypots el 21 de octubre, y hacia el viernes las firmas Palo Alto Networks y Trail of Bits confirmaron compromisos y actividad posterior a la explotación en al menos un objetivo. Cloudflare reportó un número exponencial de intentos de explotación tras la divulgación, mientras que CISA dijo no haber observado explotación al momento de su anuncio y las dos CVE todavía no figuraban en su catálogo de vulnerabilidades explotadas al 23 de octubre.

¿Qué significa esto para tu startup?

Si tu producto, tu sitio corporativo o tu tienda online viven sobre PHP, estas son las acciones que conviene cerrar esta semana:

• Averigua qué versión de PHP corre tu sitio y quién la controla. Si usas hosting gestionado, la actualización del runtime es tarea del proveedor: basta con pedirle confirmación por escrito de que ya está parcheado. Si estás en un VPS o servidor propio, aplica tú los paquetes y reinicia PHP-FPM o Apache.
• Si estás en 8.1 o anterior, prioriza migrar a 8.3 o superior. No va a haber un parche oficial para tu rama, solo backports mínimos que dependen de tu proveedor. Y no elijas 8.2 como destino: su soporte termina el 31 de diciembre de 2026. Antes de migrar, verifica que tus temas y plugins sean compatibles.
• No confundas actualizar WordPress con parchear PHP. Son dos capas distintas y el runtime se gestiona aparte, por el panel del hosting o por tu sistema operativo. El modo mantenimiento del CMS tampoco sirve como escudo: solo cambia lo que ve el visitante, pero PHP sigue en ejecución detrás.
• Revisa logs antes de cantar victoria. Un parche no borra un compromiso anterior. Busca respuestas HTTP raras, cookies de sesión malformadas, requests multipart sospechosos, errores 500 fuera de lo habitual y workers de PHP que se reinician con frecuencia.
• Haz inventario de dónde más vive PHP. CISA y JPCERT advierten que PHP suele venir embebido dentro de otros productos, en imágenes de contenedor, en pipelines de despliegue e incluso en appliances de red. Casi siempre aparece en lugares que el equipo no recuerda haber instalado.

Si no puedes actualizar de inmediato, las mitigaciones temporales sugeridas por el proyecto (ajustar memoria, límites de subida y desactivar el progreso de subida de sesiones) solo bloquean rutas de ataque concretas. El propio equipo de PHP aclara que la única solución completa es actualizar.

El costo oculto de la infraestructura que todos usan gratis

Hay una segunda lección, menos técnica y más incómoda para cualquier founder. PHP sostiene sitios de gobiernos, bancos, comercios y medios, pero su seguridad depende de un puñado de desarrolladores contratados por el PHP Foundation y unos pocos voluntarios. La fundación nació en 2021 con financiamiento de empresas como JetBrains, y su trabajo de auditoría en 2024 solo fue posible gracias al aporte de la Sovereign Tech Agency.

La fundación pide ahora que las empresas, los proveedores de hosting, las nubes y las agencias públicas que dependen de PHP aporten en proporción a cuánto lo usan. Mientras tanto, la cuenta del episodio la pagaron las compañías de hosting que hicieron mantenimiento nocturno de emergencia, los SaaS que apagaron servicios preventivamente y los equipos de IT que pasaron la semana actualizando.

Traducido a un negocio pequeño: el software libre no es gratis, es software cuyo mantenimiento todavía no te facturaron. Si tu producto se apoya en una dependencia crítica, vale la pena que exista una línea de presupuesto —y una persona designada— para responder a su próxima vulnerabilidad crítica, no solo para elegirla cuando la instalaste.

Conclusión

El internet esquivó, por ahora, lo que podría haber sido un día mucho más doloroso: no hay señales de explotación masiva y los sistemas empiezan a volver. Pero la historia no terminó. Quedan millones de instalaciones sin parchear, la explotación confirmada de los últimos días es un hecho y los equipos pequeños tardarán más en actualizar.

El patrón tampoco es nuevo. En 2016, un botnet masivo saturó al registrador Dyn y tumbó buena parte del contenido de la web. En 2017, Corea del Norte usó herramientas filtradas del gobierno de Estados Unidos para infectar con ransomware al sistema de salud británico. En 2024, una actualización defectuosa de CrowdStrike dejó miles de computadoras con Windows en pantalla azul. Cada vez que un componente compartido falla, el golpe se propaga lejos de su autor original.

Y hay un dato que debería guiar tus decisiones de arquitectura a mediano plazo: según la NSA, alrededor del 75% de las vulnerabilidades efectivamente explotadas abusa de fallos relacionados con la memoria, el tipo de problema que afecta a lenguajes antiguos como PHP y que los lenguajes con gestión segura de memoria —Python, Rust o Swift, entre otros— no arrastran de la misma forma. La presión de la IA, que abarata encontrar fallas, hará que este tipo de episodios se repita. La pregunta para tu equipo no es si tu stack va a necesitar un parche urgente, sino cuántas horas vas a tardar en detectarlo y aplicar la actualización.

Fuentes

• PHP-ocalypse: How two critical web bugs almost broke the internet (TechCrunch) (fuente original)
• PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities (Hackread)
• Critical PHP2Shell Vulnerabilities Put Web Servers at Risk of Remote Code Execution (Tech-Critter)
• CZ Warns Crypto Users to Be Extra Careful: PHP Vulnerabilities Hit the Code Behind 70% of Websites (Coinspeaker)
• What is PHP? The language that powers 70% of the Web (AI TREND LAB)