PHP2Shell: Dos Fallos Críticos en PHP Provocan Apagones Globales de Sitios Web

PHP, el lenguaje de scripting que ejecuta una gran parte del código del lado del servidor web, fue golpeado por dos fallos críticos de seguridad divulgados en octubre de 2026. Con el apodo colectivo de "PHP2Shell" y rastreados como CVE-2026-109618 y CVE-2026-109619, los bugs permiten que un atacante sin cuenta ni contraseña ejecute código arbitrario en un servidor web afectado.

Qué hacen las vulnerabilidades

Según la firma de seguridad watchTowr, CVE-2026-109618 ocurre cuando PHP se queda sin memoria a mitad del proceso de configuración de una solicitud entrante, dejando los datos de solicitud interna solo parcialmente inicializados; la rutina de limpieza de PHP entonces trata erróneamente esos datos inválidos como válidos. CVE-2026-109619 implica que el estado interno vinculado a una solicitud sobrevive después de que la memoria a la que apunta ya ha sido liberada, por lo que una solicitud posterior manejada por el mismo proceso de worker puede usar ese estado obsoleto antes de que la inicialización normal lo restablezca.

La firma de investigación Wiz, que examinó los fallos, dijo a Help Net Security que los problemas habían pasado desapercibidos durante años y se cuentan entre los más graves jamás encontrados en el lenguaje. Más allá de la ejecución remota de código completa, watchTowr dijo que los bugs también pueden bloquear procesos worker de PHP, permitir lecturas de archivos arbitrarias o filtrar memoria del servidor.

Quién lo encontró y cuándo

Los dos fallos fueron reportados a través de esfuerzos de investigación separados. El aviso de WatchTowr acredita al equipo de investigación de seguridad en Calif con el descubrimiento, mientras que la cobertura de Help Net Security atribuye la identificación y divulgación a investigadores de Wiz. La cronología de divulgación fue inusual: los detalles destinados a permanecer bajo embargo se filtraron públicamente el 20 de octubre de 2026, y watchTowr confirmó que la información filtrada era genuina. Los mantenedores de PHP respondieron lanzando parches un día antes de la fecha originalmente planeada del 22 de octubre, a las 14:00 UTC el 21 de octubre de 2026.

Alcance: quién ejecuta PHP vulnerable

PHP sigue siendo uno de los lenguajes del lado del servidor más utilizados en la web, y los fallos pueden afectar a cualquier configuración que procese solicitudes HTTP entrantes a través de él. Las configuraciones afectadas incluyen PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, según watchTowr, lo que significa que el bug se encuentra en la capa del servidor en sí, no en ninguna aplicación individual.

Debido a que PHP 7.4, 8.0 y 8.1 ya no cuentan con soporte oficial, watchTowr dice que no hay parche del proyecto del núcleo de PHP para sitios que aún ejecutan esas ramas, aunque los backports de distribución de Linux o proveedores de soporte a largo plazo pueden estar disponibles como opción intermedia; de lo contrario, esas instalaciones necesitan pasar a una rama compatible. PHP 7.3 y versiones anteriores no tienen corrección en absoluto, según watchTowr. El aviso de PHP establece que ningún cambio de configuración cierra completamente las vulnerabilidades sin actualizar el software.

Impacto y explotación

Help Net Security reportó que una red de honeypot ejecutada por Amazon detectó intentos de explotación el 17 de octubre de 2026, cuatro días antes del parche público, lo que sugiere que algunos atacantes tenían acceso anticipado a los detalles de exploración. WatchTowr dijo que su propia red de honeypot "Attacker Eye" observó explotación activa en la naturaleza continuando después del lanzamiento del parche del 21 de octubre. Los sistemas de gestión de contenido construidos sobre PHP, incluyendo WordPress, Drupal y Joomla, junto con aplicaciones basadas en Laravel y plataformas de comercio electrónico, están todos dentro del alcance afectado porque se ejecutan sobre el motor de PHP vulnerable.

A medida que avanzaba el parcheo, agencias gubernamentales, foros en línea, plataformas de juegos y algunos sitios vinculados a infraestructura fueron desconectados como medida de precaución mientras los operadores aplicaban correcciones, según la cobertura resumida en la entrada de Wikipedia de PHP2Shell. El Centro Nacional de Seguridad Cibernética del Reino Unido instó a las organizaciones que no pudieron parchear inmediatamente a tomar los sistemas vulnerables desconectándolos en su lugar, reportó Help Net Security.

Calificación de gravedad y qué deben hacer los operadores de sitios

Los propios desarrolladores de PHP calificaron ambos fallos como 9.2 de 10 en la escala CVSS v4.0, una puntuación "crítica", según el aviso de watchTowr. La ruta de remediación clara, según tanto el aviso de PHP como watchTowr, es actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 dependiendo de qué rama ejecute un servidor; los sitios en 7.4, 8.0 u 8.1 deben usar un backport de distribución o pasar a una rama compatible, mientras que los servidores en 7.3 o anterior no tienen corrección disponible y necesitan actualizar.