Dos fallos críticos de PHP, conocidos conjuntamente como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), permiten ejecutar código en un servidor sin contraseña. Los parches salieron el 21 de octubre, pero el análisis posterior muestra que los ataques empezaron antes.
Lo que se sabe
La firma de seguridad Calif encontró los errores. Al principio se juzgaron inexplotables; después los investigadores ideraron un ataque y avisaron a la PHP Foundation. Esta organizó un embargo confidencial para que grandes empresas y proveedores de hosting parchearan antes. WordPress, Drupal, Joomla y MediaWiki, que sostiene Wikipedia, estaban en el radio de impacto. Según el artículo, alrededor del 70 % de los sitios web dependen de PHP.
Dónde falló
Amazon detectó intentos de explotación cerca de una semana antes de que los parches fueran públicos y recomendó buscar rastros desde el 17 de octubre. Las hipótesis: una filtración durante el embargo, un descubrimiento independiente o espionaje. La fundación culpa a una empresa que publicó correcciones horas antes de que acabara el embargo. El viernes por la noche, Palo Alto Networks y Trail of Bits confirmaron intrusiones y Cloudflare informó de un fuerte aumento de intentos tras la divulgación.
El papel de la IA
Calif dice que la IA ayudó en la explotación, pero que el grueso lo hizo la experiencia de los investigadores. Ningún modelo encuentra aún todos los errores con una simple instrucción.
Qué hacer
Bancos, tiendas y hospitales desconectaron servidores para actualizar. Los equipos pequeños, los desarrolladores independientes y los productos con PHP integrado tardarán más, y algunos sistemas antiguos quizá nunca se actualicen. En la práctica: actualizar PHP y revisar los registros desde el 17 de octubre.