PHP2Shell: Vulnerabilidades críticas de PHP desencadenan búsqueda global de parches y cierre de sitios

El 21 de octubre de 2026, el proyecto PHP lanzó actualizaciones de emergencia —versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35— para corregir dos fallas críticas de seguridad que investigadores de seguridad y proveedores han apodado «PHP2Shell», según Help Net Security y el Centro Canadiense de Ciberseguridad. Las fallas, rastreadas como CVE-2026-109618 y CVE-2026-109619, se describen como problemas de severidad crítica; las fuentes revisadas para este artículo no citaron una puntuación oficial de CVSS numérica.

Qué hace la vulnerabilidad

Ambas fallas son errores de seguridad de memoria en la forma en que PHP maneja las solicitudes bajo condiciones anormales, reportaron Bleeping Computer y Help Net Security. CVE-2026-109618 ocurre cuando un error de falta de memoria interrumpe PHP mientras los datos de solicitud interna solo se han configurado parcialmente, por lo que las rutinas de limpieza posterior tratan esos datos incompletos como válidos. CVE-2026-109619 es una falla de estado obsoleto: la memoria vinculada a una solicitud puede ser liberada y luego reutilizada por una solicitud posterior en el mismo worker antes de que se reinicie adecuadamente, lo que puede exponer datos o permitir la ejecución de código.

El Centro de Ciberseguridad de Canadá clasificó ambas como vulnerabilidades de Uso Posterior a Liberación (CWE-416) y dijo que un ataque exitoso permite a un atacante no autenticado ejecutar código arbitrario en el servidor, sin necesidad de contraseña ni ninguna acción del usuario. La agencia dijo que los despliegues de mod_php enfrentan el riesgo más alto, ya que un exploit demostrado puede desencadenar el error antes de que ningún código de aplicación tenga la oportunidad de ejecutarse — una descripción también utilizada por el equipo de seguridad de PHP, según reportó Bleeping Computer.

El error afecta a todas las instalaciones de PHP que sirven solicitudes web, incluidas PHP-FPM, mod_php de Apache, php-cgi, FrankenPHP y LiteSpeed, según Bleeping Computer y el asesoramiento canadiense. El código subyacente había existido en PHP durante más de una década, reportó Fortune, aunque los arreglos oficiales se emitieron para las ramas 8.2–8.5 activamente soportadas, con respaldos a nivel de código fuente disponibles para 7.4 a 8.1, que están pasadas sus fechas de fin de soporte.

Cómo fue encontrada, y por qué la IA importa aquí

Según Fortune, el código defectuoso había existido en PHP durante más de una década, pero tres partes separadas convergieron en él en agosto de 2026: la firma de seguridad Wiz, una empresa llamada Calif, y OpenAI, trabajando con la Fundación PHP en una corrección y divulgación coordinada. Fortune reportó que Wiz utilizó modelos de IA incluyendo GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google para ayudar a entender la debilidad y convertirla en un exploit funcional. Wiz le dijo a Fortune que el caso representaba un cambio impulsado por la IA, diciendo que aunque el código vulnerable había existido durante más de una década, lo que cambió fue la capacidad de los investigadores de usar IA para entender las debilidades y convertirlas en un exploit funcional.

Fortune también reportó que OpenAI, en su propia declaración, dijo que el episodio mostró cómo la IA puede ayudar a descubrir fallas de seguridad con impacto a escala de Internet, mientras reconocía que las mismas capacidades de IA también pueden ayudar a los atacantes a desarrollar herramientas y exploits ofensivos más rápidamente.

Intentos de explotación y respuesta temprana de Cloudflare

Cloudflare dijo en su propio blog que activó reglas del Firewall de Aplicación Web a las 03:02 UTC el 21 de octubre, lo que describió como aproximadamente nueve horas antes de que las vulnerabilidades fueran divulgadas públicamente. La empresa implementó siete «Reglas Genéricas – Ejecución Anómala» para clientes de nivel gratuito y un conjunto separado de siete reglas equivalentes para planes pagos, más una regla adicional que verifica tanto la solicitud como la respuesta dentro de la misma transacción, según el artículo de Cloudflare resumido por ppc.land. El mismo artículo dijo que Cloudflare observó a los atacantes alterando sus cargas de exploit posteriores en un aparente intento de evadir las nuevas reglas, aunque no publicó cifras exactas de volumen de ataque.

Por separado, el equipo de Inteligencia de Amenazas de Amazon dijo que había detectado intentos de explotación contra las fallas a partir del 17 de octubre de 2026 —cuatro días antes del parche público— según Bleeping Computer, sugiriendo que algunos actores de amenaza tenían acceso a detalles de exploit antes de la divulgación general. Por el contrario, el asesoramiento del Centro de Ciberseguridad de Canadá afirmó que, en el momento en que fue escrito, no había identificado explotación activa, mientras advertía que la situación podría cambiar rápidamente. Las dos evaluaciones reflejan diferentes puntos de observación y cronogramas en lugar de una contradicción factual.

Japón: el gobierno insta a parchar o cerrar

La vulnerabilidad atrajo una atención particularmente intensa en Japón. La Oficina Nacional de Ciberseguridad de Japón, un organismo sucesor de NISC reorganizado en julio de 2025, emitió un asesoramiento instando a los operadores a verificar si sus sitios web ejecutan PHP y a actuar rápidamente, según un informe de BigGo Finance sobre la declaración de la agencia. La primera ministra Sanae Takaichi publicó en X calificándolo como «una solicitud urgente para que todos respondan esta noche», y dijo que suspender temporalmente un sitio web podría ser una forma efectiva de reducir el riesgo si no era posible aplicar parches inmediatos, reportó BigGo Finance.

Siguiendo esa orientación, varios servicios en línea japoneses entraron en mantenimiento de emergencia la noche del 21 de octubre, incluyendo la plataforma de gestión de guarderías CoDMON, el juego de cartas Shadowverse: Worlds Beyond, el constructor de tiendas en línea BASE, y el proveedor de hospedaje Sakura Internet, según el informe de BigGo Finance. Los parches oficiales de PHP fueron lanzados alrededor de las 10:40 p.m. hora de Japón, por delante de un objetivo inicial anunciado de las 11 p.m., dijo el mismo informe.

Por separado, Internet Watch (Impress) reportó que el proveedor de comunicaciones japonés Baltec suspendió aproximadamente 23 servicios —cubriendo herramientas de nube, reserva, punto de venta y gestión de gastos— después de detectar acceso no autorizado con posible exposición de datos personales. Baltec inicialmente atribuyó el incidente a un ciberataque dirigido a una vulnerabilidad de PHP, pero la empresa emitió una corrección el mismo día diciendo que la causa real era una vulnerabilidad en su propio servicio, no la falla de PHP, después de que dijo que había confundido los dos problemas mientras revisaba sus medidas de seguridad relacionadas con PHP. Baltec se orientó hacia la restauración de servicio para el 26 de octubre, reportó Internet Watch.

Escala de exposición

PHP impulsa un estimado del 70% de los sitios web en todo el mundo, incluyendo sitios de WordPress, Wikipedia, Microsoft.com y Archive.org, reportó Fortune, citando que aproximadamente el 40% de todos los sitios web se ejecutan en WordPress, que a su vez depende de PHP. Fortune también citó un escaneo inicial que identificó 22,6 millones de instancias potencialmente vulnerables de PHP expuestas a Internet.

Lo que aún se desconoce

Según los informes disponibles, ninguna fuente confirma una brecha exitosa a gran escala causada directamente por la explotación de PHP2Shell, a diferencia de cierres precautorios. Las cifras sobre los intentos totales de explotación varían según la fuente y la ventana de medición: el CEO de Cloudflare fue citado en cobertura japonesa a través de Yahoo! News como describiendo que el recuento de intentos aumentó de miles antes de la divulgación a decenas de miles dentro de 45 minutos y alcanzó cientos de miles dentro de dos horas, con totales descritos como alcanzando millones en el momento de ese informe; el propio artículo de blog de Cloudflare no repitió estas cifras específicas. Los lectores deben tratar los números de volumen de ataque precisos como preliminares y sujetos a revisión por parte de las organizaciones que los rastrean.