PHP2Shell: los dos fallos PHP críticos que llevaron a gobiernos a desconectar sitios públicos

PHP2Shell es un apodo de dos vulnerabilidades en el lenguaje de programación PHP en sí, no en ningún sitio web o aplicación específica. Se registran como CVE-2026-109618 y CVE-2026-109619, y el equipo de seguridad de PHP calificó ambas con 9.2 de 10 en la escala CVSS v4.0, su nivel 'crítico', según la página de archivo oficial de 2026 del proyecto PHP.

Qué hacen realmente los dos fallos

Según el aviso de seguridad del proyecto PHP, CVE-2026-109618 se desencadena cuando PHP se queda sin memoria mientras maneja una solicitud web. El error de falta de memoria puede interrumpir PHP antes de que los datos de solicitud internos se configuren completamente, y el proceso de limpieza que sigue puede entonces tratar esos datos incompletos como válidos, lo que puede provocar corrupción de memoria y ejecución remota de código.

CVE-2026-109619 es descrito por PHP como un fallo de 'estado global obsoleto': los datos vinculados a la solicitud de un visitante pueden permanecer en la memoria de un servidor después de que deberían haber sido borrados, y la siguiente solicitud de un visitante manejada por el mismo proceso de trabajo puede terminar actuando sobre esos restos. La empresa de seguridad watchTowr, que gestiona una red global de sistemas de monitoreo, dijo que ambos fallos permiten a un atacante ejecutar código sin necesidad de iniciar sesión, antes de que incluso el código del propio sitio web comience a ejecutarse.

La empresa de seguridad holandesa Sansec agregó más detalles técnicos, diciendo que uno de los caminos para la explotación pasa a través de la característica 'progreso de carga' de sesión de PHP y puede exponer datos como contraseñas, claves API y claves de cifrado que casualmente estaban en la memoria de un servidor de otras solicitudes no relacionadas.

Por qué tantos sitios web fueron expuestos

Los fallos se encuentran dentro del motor de PHP, por lo que cualquier sitio web o aplicación construida con PHP está potencialmente expuesta, independientemente de qué sistema de contenido se ejecute en la parte superior. Esto incluye plataformas ampliamente utilizadas como WordPress, Drupal, Joomla, Magento y Nextcloud, según Sansec. PHP sigue siendo uno de los lenguajes de programación del lado del servidor más utilizados en la web, que es una de las razones por las que los fallos fueron tratados como posando un riesgo amplio y a gran escala.

Los investigadores de seguridad de Wiz identificaron los fallos, e Help Net Security informó que los investigadores dijeron que los avances en herramientas de IA de frontera habían reducido significativamente la barrera técnica para convertir un problema de manejo de memoria difícil de explotar y conocido desde hace tiempo en un exploit funcional.

Por qué los gobiernos desconectaron sitios

Los detalles técnicos de los fallos se filtraron antes de que el parche oficial de PHP estuviera listo, cortando la ventaja habitual que los defensores obtienen antes de que se haga público un arreglo. El blog de seguridad Safeguard informó que el 21 de octubre de 2026, los Países Bajos desconectaron servicios incluyendo el sitio del propio centro nacional de ciberseguridad, Overheid.nl, el sitio web de la Cámara de Representantes y varios sitios de hospitales y partidos políticos como medida de precaución. El proveedor estatal de TI de Finlandia Valtori desconectó los servicios de la red gubernamental como medida de precaución, y la empresa municipal de TI de Dinamarca Kombit cerró varios servicios incluyendo una plataforma nacional de comunicación escolar. El Ministerio del Interior de Francia desconectó temporalmente los sitios de prefectura y administración local, diciendo que estaba esperando a que se aplicara el parche de PHP. El proveedor de TI federal alemán ITZBund y el Ministerio de Relaciones Exteriores de Bélgica también desconectaron sitios, aunque Safeguard informó que dieron razones diferentes: ITZBund dijo que no tenía conocimiento de incidentes de seguridad, mientras que el Ministerio de Relaciones Exteriores de Bélgica citó informes de ataques.

watchTowr dijo que su red de honeypot, Attacker Eye, registró intentos de explotación en el mundo real comenzando el 21 de octubre de 2026, un día después de la filtración y el mismo día que PHP publicó su arreglo.

Los dos fallos comparados

Cómo proteger tu sitio y tus datos

1. Si ejecutas un sitio web en PHP: actualiza a una versión corregida — PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 — y reinicia todos los procesos de trabajo de PHP después, ya que el aviso de PHP y runZero enfatizan que la actualización es el único arreglo completo.
2. Si aún estás en PHP 7.4, 8.0 u 8.1, que ya no reciben actualizaciones oficiales, obtén un parche de seguridad retroactivo de tu distribución de Linux o proveedor de alojamiento, ya que el proyecto de PHP ha dejado de mantener esas ramas, según la página de archivo de PHP.
3. Hasta que puedas aplicar el parche, runZero recomienda pasos intermedios a nivel de servidor o proxy: limita los límites de memoria para que las aplicaciones no puedan anularlos, impone límites bajos de tamaño de solicitud y carga multiparte, y deshabilita la característica 'progreso de carga' de sesión.
4. Verifica tus registros de acceso del servidor web para solicitudes POST de multipart/form-data inusuales, que Sansec dice que son comunes en intentos de explotación conocidos, y vigila picos de memoria PHP inesperados o errores fatales.
5. Como usuario de Internet cotidiano, no puedes aplicar parches a servidores que no controlas, pero puedes estar atento a notificaciones de infracción de servicios que utilizas, usar una contraseña única para cada cuenta, y activar autenticación de dos factores para que una contraseña filtrada no sea suficiente para acceder a tus cuentas.

Qué sigue sin estar claro

Según la información revisada en los reportes, había desacuerdo entre los expertos sobre cuán generalizada era ya la explotación activa en el momento en que varios gobiernos decidieron desconectar sitios; Safeguard informó que el gobierno holandés dijo que no tenía signos de explotación activa cuando actuó, mientras que watchTowr confirmó por separado intentos de ataque reales contra sus honeypots al día siguiente.