Así es PHP2Shell, el fallo que amenaza a siete de cada diez webs

Dos vulnerabilidades críticas en el lenguaje de programación PHP, denominadas colectivamente PHP2Shell, amenazan aproximadamente el 70 por ciento de todos los sitios web cuyo lenguaje de scripting del lado del servidor es conocido. El proyecto PHP lanzó versiones fijas el miércoles, acompañadas de un aviso inusual que afirma que ningún ajuste de configuración ofrece protección completa. Los usuarios deben actualizarse a las últimas versiones del lenguaje para proteger sus sistemas, una tarea que muchas organizaciones pueden tener dificultades para realizar rápidamente. Estas fallas permiten a los atacantes enviar solicitudes a un servidor web y ejecutar código arbitrario directamente en la máquina host sin requerir credenciales o contraseñas de usuario válidas.

Esta capacidad efectivamente otorga acceso remoto a la carcasa, permitiendo el compromiso total de la infraestructura afectada. Las vulnerabilidades afectan a la gestión de la memoria central y los mecanismos de manejo de errores de PHP. La primera falla, identificada como CVE-2026-109618, ocurre cuando el intérprete alcanza su límite de memoria configurado durante el procesamiento de la solicitud. Cuando se alcanza este límite, PHP detiene abruptamente la ejecución. Si esta interrupción ocurre mientras se están construyendo estructuras de datos internas, permanecen parcialmente construidas. Durante la siguiente fase de limpieza, el sistema trata estas estructuras incompletas como completamente formadas.

Los atacantes pueden desencadenar esta condición utilizando solicitudes con tamaños no declarados u otros métodos que saturan el proceso y corrompen la memoria, lo que lleva a la ejecución de código malicioso. La segunda vulnerabilidad, CVE-2026-109619, explota el hecho de que PHP a menudo reutiliza el mismo proceso para solicitudes sucesivas. Si un error interrumpe una solicitud en un momento específico, los datos residuales, como la información de sesión o los estados de error, pueden apuntar a la memoria que ya se ha liberado. La siguiente solicitud entrante utiliza estos punteros obsoletos antes de que se borren adecuadamente. Con una manipulación cuidadosa de la memoria, un atacante puede aprovechar este estado para ejecutar comandos no autorizados.

2 de 10, lo que indica un riesgo grave. Si bien la explotación no es trivial y puede requerir miles de intentos para tener éxito, el impacto potencial permite el control total del servidor, el robo de datos y la alteración del sitio web. Tres equipos independientes descubrieron los errores entre finales de julio y agosto de 2026. Las fallas habían existido en la base de código PHP durante más de una década. Los tres grupos utilizaron herramientas de inteligencia artificial en su proceso de descubrimiento. Wiz, propiedad de Google, combinó ese modelo con Gemini 4 Argon y una herramienta patentada. Según Wiz, el uso de la IA permitió a un solo investigador lograr en una semana lo que anteriormente habría tomado meses para un equipo especializado.

Los descubrimientos se mantuvieron confidenciales mientras el equipo de PHP desarrollaba parches. Sin embargo, un mensaje publicado en el foro Hacker News el martes reveló la existencia de las fallas, lo que obligó al proyecto PHP a adelantar la publicación de las correcciones en un día. Los expertos en seguridad advirtieron que la situación es urgente porque la inteligencia artificial reduce significativamente el tiempo entre el descubrimiento de una vulnerabilidad y el despliegue de un ataque. Cloudflare informó haber detectado intentos tempranos de explotar las debilidades incluso antes de que estuvieran disponibles los parches oficiales.

Dane Knecht, Director de Tecnología de Cloudflare, declaró que la compañía estaba observando los ataques emergentes y actualizando las estrategias de mitigación a medida que aparecían nuevos vectores de ataque. Es común que muchas aplicaciones, particularmente el software empresarial, ejecuten versiones más antiguas y sin soporte. Las agencias gubernamentales y las principales instituciones respondieron rápidamente a la amenaza. La Oficina Federal Alemana de Seguridad de la Información emitió una advertencia oficial de ciberseguridad, clasificando el nivel de riesgo como excepcionalmente alto.

La agencia aconsejó a los operadores que desconectaran temporalmente los servidores de Internet si no era posible un parche inmediato. Las autoridades de Australia, Japón y varias naciones europeas emitieron advertencias similares. Algunos sitios web gubernamentales fueron desconectados para evitar posibles violaciones. Por ejemplo, el sitio web de la Prefectura de Policía de París en Francia fue desactivado después de la detección de la vulnerabilidad crítica. La Universidad de Barcelona cerró sus conexiones a Internet como medida de precaución. La Fundación Wikimedia, que opera Wikipedia, declaró que había eliminado varios sistemas hasta que pudieran parchearse de manera segura.

La dependencia generalizada de PHP hace que el alcance del problema sea vasto. Los principales sistemas de gestión de contenidos, incluidos WordPress, Drupal, Joomla, Moodle y TYPO3, dependen del idioma. Los expertos estiman que entre 400 y 500 millones de sitios web operan en WordPress. Otras plataformas populares como Magento también utilizan PHP. La Fundación PHP instó a todos los usuarios a actualizar inmediatamente, enfatizando que ejecutar la versión actual es imperativo. La publicación destaca el papel cada vez mayor de las herramientas automatizadas tanto en la detección como en la explotación de defectos complejos de software. A medida que las organizaciones se apresuran a aplicar actualizaciones, la ventana de exposición permanece abierta para aquellos que no pueden actuar instantáneamente.

El incidente sirve como un caso de prueba de la rapidez con que las amenazas modernas pueden propagarse a través de tecnologías web fundamentales.