Una vulnerabilidad crítica en PHP, el lenguaje de programación que impulsa cerca del 70% de los sitios web del mundo, desató una respuesta internacional urgente tras confirmarse que podría permitir a atacantes ejecutar código de forma remota y tomar control de servidores sin necesidad de autenticación. Las fallas, agrupadas bajo el nombre colectivo PHP2Shell, fueron identificadas con apoyo de inteligencia artificial y obligaron a gobiernos, empresas y administradores de sistemas a aplicar parches de emergencia.
La magnitud del riesgo radica en que PHP no es una aplicación aislada: está integrado en millones de servidores, tiendas en línea, portales gubernamentales, sistemas educativos y plataformas de contenido. Una falla en su núcleo puede generar efectos en cadena en toda la infraestructura digital, incluyendo los servicios financieros, de salud y de gobierno que operan sobre ella.
Qué es PHP2Shell y por qué es tan grave
PHP2Shell agrupa dos vulnerabilidades críticas en el núcleo de PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, con una severidad calificada en 9.2 sobre 10 en la escala estándar de evaluación de riesgos. Ambas fallas permiten, bajo ciertas condiciones, que un atacante ejecute código de forma remota sin iniciar sesión y acceda a la memoria del servidor, donde pueden residir contraseñas, claves de cifrado y otros datos sensibles.
La primera falla está relacionada con un error de uso después de liberar memoria durante el procesamiento de cargas. La segunda involucra un estado global obsoleto y un problema de confusión de tipos en OPcache, el componente que acelera la ejecución del código PHP. En conjunto, podrían permitir a un atacante corromper la memoria del proceso y ejecutar comandos con los permisos del servidor web.
Los investigadores de la firma de ciberseguridad Wiz demostraron ataques de ejecución remota sin autenticación contra instalaciones de WordPress, Drupal y Joomla, lo que evidenció que el problema no afectaba a un sitio particular, sino a la infraestructura subyacente de PHP. Los errores no eran recientes: habían permanecido ocultos durante años en versiones del lenguaje.
Una respuesta internacional sin precedentes
Tras la divulgación pública, Wikimedia retiró temporalmente varios sistemas como medida preventiva. El gobierno británico informó que 32 sitios fueron bajados temporalmente por precaución. También se desconectaron o limitaron servicios del gobierno finlandés, el Ayuntamiento de Edimburgo, páginas de la BBC y el sitio de la agencia de ciberseguridad de Países Bajos. La operadora francesa Orange suspendió el acceso a algunos de sus servicios mientras aplicaba correcciones.
En Japón, SoftBank suspendió temporalmente las alertas de emergencia por terremotos y tsunamis, según reportes locales, lo que ilustra el alcance de la dependencia global en este lenguaje.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó que las organizaciones que no puedan aplicar los parches de inmediato retiren sus sistemas de línea, advirtiendo que la vulnerabilidad puede ofrecer una ruta directa hacia las bases de datos. Agencias de la Unión Europea, Singapur y Australia emitieron alertas similares.
La inteligencia artificial, en ambos lados del riesgo
Las vulnerabilidades fueron descubiertas por investigadores de Calif, Wiz y OpenAI mediante herramientas de inteligencia artificial capaces de analizar código y detectar fallas con una velocidad muy superior a la de los métodos tradicionales.
Esa misma velocidad amplificó el riesgo de explotación. Cloudflare reportó que detectó miles de intentos de explotación en las 10 horas previas a la divulgación pública; tras el anuncio oficial, los intentos escalaron a decenas de miles en 45 minutos, cientos de miles en dos horas y millones poco después. OpenAI reconoció que la inteligencia artificial puede descubrir vulnerabilidades, pero también facilitar que atacantes desarrollen herramientas ofensivas con mayor rapidez.
Qué deben hacer administradores y usuarios
La Fundación PHP publicó parches de emergencia y urgió a todos los usuarios a actualizar de inmediato. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para quienes administran sitios en WordPress u otras plataformas basadas en PHP, actualizar el gestor de contenidos o los plugins no es suficiente: la corrección debe aplicarse al propio PHP del servidor.
La mayoría de los usuarios comunes no necesita tomar medidas directas, dado que el problema afecta procesos del lado del servidor invisibles para el internauta. Sin embargo, los expertos recomiendan estar atentos a avisos de seguridad de los servicios utilizados, cambiar contraseñas si un proveedor lo solicita y desconfiar de correos o mensajes que aprovechen la notoriedad del incidente para realizar phishing.
Hasta el viernes 23 de octubre no se habían reportado ataques exitosos atribuibles a PHP2Shell, pero los especialistas advierten que el impacto real puede tardar en hacerse visible. Los sistemas peor mantenidos, especialmente los de pequeñas organizaciones con recursos limitados de seguridad, son los más expuestos. Los intentos de explotación probablemente aumentarán en las próximas semanas, ahora que los detalles técnicos son de conocimiento público.
