Fallas críticas en PHP provocan una alerta mundial
Dos vulnerabilidades de seguridad en PHP encendieron las alarmas entre administradores de sistemas, empresas y organismos gubernamentales. El 21 de octubre de 2026, el equipo de desarrollo del lenguaje publicó actualizaciones de emergencia para corregir los problemas, identificados como CVE-2026-109618 y CVE-2026-109619.
Ambas vulnerabilidades recibieron una puntuación de gravedad de 9.2 sobre 10 en CVSS v4.0 y se conocen en conjunto como PHP2Shell. Su riesgo principal es que, bajo determinadas condiciones, un atacante puede ejecutar código de forma remota en un servidor vulnerable sin necesidad de autenticarse.
La preocupación llevó a algunas organizaciones a desconectar temporalmente sus sitios y servicios mientras preparaban las actualizaciones de seguridad. No obstante, eso no significa que todos los sitios que utilizan PHP hayan sido comprometidos: la exposición depende de la versión y de las condiciones de cada instalación.
¿Qué es PHP y por qué afecta a tantos sitios web?
PHP es un lenguaje de programación de código abierto utilizado principalmente para crear sitios web y aplicaciones que procesan información desde un servidor. Permite, por ejemplo, administrar sesiones, procesar formularios, consultar bases de datos y generar contenido dinámico.
Su presencia es amplia. Plataformas como WordPress, Drupal, Joomla, MediaWiki y Magento pueden funcionar con PHP. De acuerdo con los datos citados por Pisapapeles a partir de W3Techs, el lenguaje se utilizaba en el 69.3 % de los sitios web cuyo lenguaje de programación del servidor podía identificarse.
Por eso, una vulnerabilidad en el propio intérprete de PHP puede afectar a aplicaciones que no necesariamente tienen un error en su código. El riesgo se encuentra en la tecnología que procesa las solicitudes antes de que el contenido llegue al visitante.
¿Cómo funcionan las vulnerabilidades PHP2Shell?
Las dos fallas están relacionadas con un problema de gestión de memoria conocido como use-after-free. Este tipo de error ocurre cuando un programa intenta utilizar información almacenada en una zona de memoria que ya fue liberada.
Aunque las vulnerabilidades comparten esa característica, se producen mediante secuencias internas diferentes.
Un problema durante el procesamiento de solicitudes
La primera falla aparece en determinadas circunstancias cuando PHP agota la memoria disponible mientras procesa una petición. Algunos datos internos pueden quedar en un estado incompleto y, durante la liberación de recursos, el intérprete puede intentar utilizarlos como si fueran válidos.
Los investigadores lograron demostrar que esta condición podía aprovecharse para ejecutar código de forma remota.
Datos que permanecen entre peticiones
La segunda vulnerabilidad está relacionada con información que puede permanecer en un proceso del servidor mientras atiende distintas solicitudes web.
Si ocurre un error fatal y la limpieza de memoria no termina correctamente, pueden quedar referencias a información que ya no existe. Una petición posterior puede intentar utilizar esas referencias y provocar el acceso a memoria liberada.
El equipo de seguridad de PHP documentó mecanismos de explotación relacionados con trazas de errores fatales y con el seguimiento del progreso de carga de archivos asociado a sesiones.
¿Por qué algunos sitios web fueron desconectados?
La posibilidad de ejecutar código en servidores vulnerables llevó a varias organizaciones a tomar medidas preventivas. Algunos servicios públicos y sitios de organizaciones en países como Países Bajos y Francia quedaron temporalmente fuera de línea mientras se evaluaba el riesgo y se preparaban las correcciones.
La recomendación de los organismos de ciberseguridad fue priorizar la instalación de los parches. Cuando no fuera posible corregir de inmediato los sistemas expuestos a internet, la alternativa preventiva era aislarlos o desconectarlos hasta aplicar las medidas necesarias.
Es importante distinguir entre una desconexión preventiva y un ataque exitoso: retirar un sitio de internet no demuestra por sí mismo que sus datos hayan sido robados o que el servidor haya sido comprometido.
¿Qué versiones de PHP corrigen las fallas?
El equipo de desarrollo publicó actualizaciones de seguridad el 21 de octubre de 2026. Las versiones que incorporan las correcciones son las siguientes:
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
El problema también afecta a ramas anteriores que ya no reciben mantenimiento oficial. El artículo de Pisapapeles explica que existen adaptaciones de las correcciones para PHP 7.4, 8.0 y 8.1, dirigidas principalmente a administradores que mantienen sus propias compilaciones o cuentan con soporte específico. Para PHP 7.3 y versiones anteriores, el proyecto no publicó correcciones equivalentes, por lo que es necesario considerar una migración a una versión compatible y mantenida.
La medida adecuada depende de cómo esté instalado PHP y de las actualizaciones que distribuya el proveedor del servidor. Por eso, los administradores deben comprobar tanto la versión del intérprete como los avisos de seguridad de su distribución o servicio de alojamiento.
¿La inteligencia artificial ayudó a descubrir PHP2Shell?
La investigación que permitió identificar las vulnerabilidades incluyó la iniciativa Patch the Planet de OpenAI y el trabajo de la firma de seguridad Calif. Wiz Research también identificó las fallas de forma independiente durante agosto y las comunicó al equipo de seguridad de PHP.
El descubrimiento se mantuvo bajo divulgación coordinada mientras se preparaban las correcciones. Sin embargo, el 20 de octubre comenzaron a circular detalles en línea antes de la fecha prevista, lo que aceleró la publicación de los parches y la respuesta de los administradores.
Este caso muestra cómo las herramientas de análisis apoyadas en inteligencia artificial pueden participar en investigaciones de seguridad, aunque no significa que la IA encuentre automáticamente todas las vulnerabilidades ni que sustituya las pruebas y el trabajo de los especialistas.
¿Qué deben hacer los administradores de sitios web?
Ante PHP2Shell, las organizaciones que utilizan PHP deben revisar sus instalaciones y aplicar las siguientes medidas:
- Identificar las versiones instaladas: comprobar qué servidores y aplicaciones utilizan PHP, especialmente los expuestos a internet.
- Instalar las actualizaciones: aplicar el parche correspondiente a la versión mantenida y verificar las indicaciones del proveedor.
- Revisar sistemas antiguos: planificar una migración cuando se utilicen ramas que ya no reciben correcciones oficiales.
- Aislar los sistemas sin parche: si no es posible actualizar de inmediato, evaluar la desconexión temporal de los servicios expuestos.
- Mantener la vigilancia: revisar registros y alertas de seguridad para identificar actividad sospechosa.
Modificar ciertos ajustes de configuración puede reducir algunos riesgos, pero no reemplaza la instalación de las correcciones oficiales.
Actualizar PHP es clave para proteger los servidores
Las vulnerabilidades PHP2Shell evidencian el alcance que puede tener un fallo en una tecnología utilizada por una gran parte de la web. Las dos fallas permiten, bajo determinadas condiciones, ejecutar código de forma remota sin autenticación y obligaron a organizaciones a evaluar si debían mantener sus servicios en línea.
La buena noticia es que ya se publicaron actualizaciones para las ramas de PHP mantenidas. Para administradores y empresas, la prioridad es identificar los sistemas expuestos, instalar las correcciones y aislar temporalmente aquellos que no puedan protegerse a tiempo.
La alerta también deja una lección importante: incluso un sitio web bien programado puede quedar expuesto si depende de un componente vulnerable. Mantener actualizado el software del servidor es una parte esencial de la seguridad digital.
