Dos Fallos Críticos de PHP Apodados "PHP2Shell" Exponen la Mayor Parte de la Web

El 21 de octubre de 2026, el proyecto PHP lanzó versiones parcheadas del lenguaje después de que los investigadores de seguridad divulgaran dos vulnerabilidades críticas de ejecución remota de código apodadas colectivamente "PHP2Shell". Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619, fueron encontrados por la empresa de seguridad en la nube Wiz Research, que acreditó a las organizaciones Calif y OpenAI por contribuir al descubrimiento, coordinación y verificación del parche, según el escrito público de Wiz.

Qué hacen las dos vulnerabilidades

Wiz dice que los dos CVE en realidad agrupan cuatro errores subyacentes distintos. CVE-2026-109618 cubre un fallo de liberación después del uso en el deserializador de progreso de carga de sesión de PHP, que puede ser explotado para ejecución de código remoto, más un error relacionado que puede filtrar memoria de un proceso de trabajador de PHP en ejecución sin autenticación. CVE-2026-109619 cubre un uso posterior a la liberación en el manejo de seguimiento de errores fatales de PHP y un fallo de confusión de tipos separado en OPcache, el caché de código de bytes de memoria compartida de PHP.

Según Wiz, ambos problemas se encuentran en rutas de código que casi todas las solicitudes de PHP atraviesan: gestión de memoria y manejo de errores. La Fundación PHP hizo el mismo punto en comentarios reportados por la salida SecurityWeek.

Cronología del descubrimiento

El equipo de investigación de Wiz —nombrado en su entrada de blog como Sagi Tzadik, Shir Tamari, Nir Ohfeld y Tomer Schwartz— dice que encontró el primer error el 19 de agosto de 2026 y confirmó exploits funcionales de ejecución de código remoto contra instalaciones de WordPress y Drupal en los dos días siguientes. El equipo reportó sus hallazgos al equipo de seguridad de PHP el 24 de agosto de 2026. La divulgación pública y los parches correspondientes siguieron el 21 de octubre de 2026.

Wiz dice que utilizó modelos de codificación de IA, incluyendo Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI, para ayudar a construir exploits de prueba de concepto, describiendo trabajo que anteriormente hubiera tomado meses a investigadores especialistas como realizable en horas.

Quién está afectado

Wiz afirma que los fallos subyacentes existen en cada versión de PHP lanzada durante aproximadamente la última década, con al menos uno de los dos CVE presentes desde PHP 5.4 en adelante. La empresa dice que confirmó ejecución de código remoto no autenticada contra versiones actuales de tres sistemas de gestión de contenidos ampliamente utilizados: WordPress, Drupal y Joomla. SecurityWeek reporta que los errores afectan métodos de implementación comunes de PHP, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.

Wiz encuadra la escala de exposición como afectando aproximadamente el 70% de Internet, una referencia a la parte de sitios web que ejecutan PHP en alguna forma, según el escrito de la empresa.

Intentos de explotación desde la divulgación

Múltiples firmas de seguridad monitorearon el tráfico de ataque alrededor de la divulgación. SecurityWeek reporta que la firma watchTowr detectó los primeros intentos de explotación en la naturaleza alrededor del momento en que los parches llegaron pero no había confirmado un compromiso exitoso. Hadrian le dijo a SecurityWeek que observó intentos de explotación a gran escala antes de que los parches fueran lanzados, concentrados en la ruta de código de progreso de carga de sesión de PHP. Patchstack, Cloudflare y Vega registraron intentos en el día de la divulgación, y Amazon dijo que había identificado intentos de explotación cuatro días antes de que se enviaran los parches.

Por qué la escala de PHP hace que esto sea significativo

PHP fue creado por el programador danés-canadiense Rasmus Lerdorf, lanzado por primera vez en 1995, y sigue siendo uno de los lenguajes de scripting del lado del servidor más utilizados para construir sitios web, según Wikipedia. La misma fuente señala que a partir de noviembre de 2025, más de la mitad de los sitios web impulsados por PHP todavía ejecutaban la rama PHP 7 no compatible, y aproximadamente el 9.7% todavía estaban en PHP 5, que fue descontinuado años antes, un patrón de software heredado que los investigadores de seguridad dicen que complica el parcheado rápido en todo el ecosistema de PHP más amplio.