PHP2Shell: dos fallas críticas en PHP obligan a actualizar millones de servidores web, y fueron halladas con ayuda de inteligencia artificial

¿Qué ocurrió?

Los desarrolladores de PHP, el lenguaje de programación con el que funciona una porción muy amplia de los sitios web del mundo —incluidos gestores de contenido como WordPress y numerosas tiendas en línea—, lanzaron las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Estas corrigen dos fallas identificadas como CVE-2026-109618 y CVE-2026-109619, bautizadas por la comunidad como “PHP2Shell”.

Ambas recibieron una calificación de 9,2 sobre 10 en la escala CVSS 4.0, el estándar internacional que mide la gravedad de una vulnerabilidad. Según el aviso oficial de PHP, permiten la “ejecución remota de código sin autenticación”: un atacante podría ejecutar sus propias instrucciones en el servidor sin haber iniciado sesión.

La publicación estaba programada para las 14:00 UTC (9:00 a. m. en Colombia) del miércoles 21 de octubre, aunque el proyecto se había reservado el derecho de adelantarla si los detalles se hacían públicos antes.

Cómo funcionan las fallas

La primera vulnerabilidad se relaciona con el manejo de errores por falta de memoria: cuando el sistema se queda sin memoria disponible, PHP puede interrumpirse mientras los datos de una solicitud están incompletos, y la rutina de limpieza posterior puede tratarlos como válidos. La segunda se debe a un “estado obsoleto”: información interna de una petición puede sobrevivir después de que su memoria fue liberada, y ser reutilizada por la siguiente solicitud que atienda el mismo proceso.

De acuerdo con PHP, están afectadas todas las instalaciones que atienden peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El mayor riesgo está en mod_php, para el cual existe una demostración en la que una solicitud maliciosa activa el ataque antes de que se ejecute cualquier código de la aplicación.

El papel de la inteligencia artificial

OpenAI informó que la firma de seguridad Calif identificó una de las fallas usando su modelo GPT-5.6 Sol, dentro de una iniciativa llamada “Patch the Planet”, y que la empresa Wiz descubrió y reportó ambas de manera independiente. La compañía afirmó que la IA de frontera encontró estas vulnerabilidades “antes que los atacantes” y anticipó que este tipo de hallazgos aumentará. También publicó una herramienta gratuita para verificar la versión de PHP instalada.

El caso ilustra una tendencia que el sector de ciberseguridad viene siguiendo: los modelos de IA ya no solo escriben código, sino que también auditan programas de uso masivo en busca de errores.

Ataques y medidas de contención

Cloudflare, uno de los mayores proveedores de infraestructura web, indicó que activó reglas de protección en su cortafuegos para aplicaciones (WAF) horas antes de la divulgación pública y que ya observa tráfico de ataque dirigido a sus clientes, con atacantes que modifican sus intentos para evadir los filtros. PHP, por su parte, no ha confirmado explotación masiva.

Según BleepingComputer, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) pidió a las organizaciones actualizar de inmediato o desconectar los sistemas hasta poder aplicar el parche. El mismo medio cita datos de VirusTotal que cuentan más de 5,1 millones de servidores PHP expuestos en internet.

Qué deben hacer los administradores

La recomendación oficial es actualizar cuanto antes: PHP advierte que “no hay mitigaciones completas” y que actualizar es la única opción segura. Para quienes no puedan hacerlo de inmediato, el proyecto propone ajustes temporales en la configuración, como desactivar `session.upload_progress` y revisar los límites de memoria. Las versiones 8.1 y anteriores ya no reciben soporte oficial, aunque PHP publicó adaptaciones del código para 7.4, 8.0 y 8.1, y varias distribuciones de Linux recibieron los parches por anticipado.

Para entidades públicas, comercios electrónicos y medios en Colombia que operan sitios basados en PHP, la prioridad es identificar la versión instalada y coordinar la actualización con sus proveedores de alojamiento.

Preguntas y respuestas de contexto

¿Qué son las fallas PHP2Shell y por qué son peligrosas?

Son dos vulnerabilidades críticas que permiten a un atacante tomar el control total de un servidor web y ejecutar código malicioso sin necesidad de una contraseña. Afectan a millones de sitios que usan PHP, incluyendo plataformas populares como WordPress y tiendas en línea.

¿Cómo se descubrieron estas vulnerabilidades?

Fueron identificadas de manera independiente por firmas de seguridad, destacando que una de ellas fue hallada con la ayuda del modelo de inteligencia artificial GPT-5.6 Sol de OpenAI. Este hallazgo demuestra la capacidad de la IA para auditar programas masivos y encontrar errores antes que los atacantes.

¿Qué deben hacer los administradores de sitios web en Colombia?

La recomendación oficial es actualizar de inmediato a las versiones corregidas de PHP, ya que no existen mitigaciones completas más allá del parche. Se estima que hay más de 5 millones de servidores expuestos y ya se reportan intentos. de ataque en tiempo real.