Fallo crítico en PHP: apagones globales y parches

Una vulnerabilidad crítica en PHP, el lenguaje que impulsa casi el 70% de los sitios web, ha provocado apagones gubernamentales en todo el mundo y parches de emergencia tras confirmarse que los fallos permanecieron sin detectar durante más de una década. Bautizados como PHP2Shell y registrados como CVE-2026-109618 y CVE-2026-109619, permiten ejecución remota de código sin autenticación: los atacantes pueden tomar el control de servidores web sin acceso previo.

¿Qué es PHP2Shell?

Es el apodo colectivo de dos vulnerabilidades críticas del propio motor PHP, no de aplicaciones alojadas ni de configuraciones. Como PHP se ejecuta en la mayoría de los sistemas operativos y se integra en HTML, cualquier servidor con versiones afectadas es explotable. La Fundación PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026, después de que los detalles se filtraran en redes sociales, según la BBC. El fallo afecta a cerca del 70% de los sitios web, cifra aún sin verificar. El episodio muestra cómo una sola debilidad en la infraestructura web de código abierto puede propagarse por sistemas públicos y privados de todo el mundo.

Apagones gubernamentales en todo el mundo

Horas después de la divulgación, varios gobiernos y agencias europeas retiraron servicios como precaución. The Guardian informó de que sitios de Bélgica, Países Bajos, Finlandia, Francia y Alemania fueron desconectados temporalmente, junto con sistemas australianos y el servicio neerlandés de identidad digital. Finlandia cerró sus servicios públicos; Países Bajos retiró los sitios de su agencia de salud y su parlamento. También cayeron brevemente 32 servicios del Reino Unido y el sitio del Ayuntamiento de Edimburgo, y Wikimedia desconectó varios sistemas, afectando parte de Wikipedia.

Estas retiradas preventivas reflejan cómo las agencias de ciberseguridad gubernamental priorizan el aislamiento sobre la disponibilidad cuando surgen fallos críticos.

Parches de emergencia y advertencias oficiales

La NSA de EE. UU. emitió un aviso urgiendo parchear PHP2Shell y advirtiendo de robo de datos e interrupciones; quienes no puedan parchear deben desconectar los sistemas. El Centro Nacional de Ciberseguridad del Reino Unido envió 50.000 alertas y recomendó buscar puertas traseras, calificando la escala de sin precedentes. CERT-EU advirtió de ejecución remota de código sin autenticación y los primeros ataques aparecieron en horas. Ambos fallos puntúan 9,2 sobre 10 en la escala CVSS. Las agencias recomiendan inventariar versiones vulnerables, priorizar parches de proveedores y sustituir PHP obsoleto, parte ya de los procedimientos estándar de parcheo de PHP.

El descubrimiento con IA y la carrera por explotar

Investigadores de Wiz y Calif hallaron las vulnerabilidades con las herramientas de IA Patch the Planet de OpenAI, tras sospecharse un fallo de gestión de memoria en 2024 y confirmarse en agosto de 2026 con modelos como GPT-5.6 Sol y Gemini 4 Argon. Los errores pasaron más de diez años sin detectarse. Cloudflare registró miles de intentos de explotación diez horas antes de la divulgación; en 45 minutos fueron decenas de miles, y millones el 22 de octubre. Amazon Threat Intelligence afirmó que el fallo se estaba explotando ampliamente en la naturaleza.

La escalada muestra cómo el descubrimiento de vulnerabilidades con IA comprime la ventana entre divulgación y explotación.

Preguntas frecuentes

¿Qué es el fallo crítico de PHP?

Un par de vulnerabilidades de ejecución remota de código sin autenticación, PHP2Shell, registradas como CVE-2026-109618 y CVE-2026-109619, que afectan a casi el 70% de los sitios web.

¿Qué países desconectaron sitios gubernamentales?

Bélgica, Países Bajos, Finlandia, Francia, Alemania, Australia y el Reino Unido, según The Guardian y la BBC.

¿Cómo corrijo la vulnerabilidad?

Actualice a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 de inmediato; si no es posible, desconecte los sistemas y vigile puertas traseras.

¿Por qué es tan peligroso PHP2Shell?

Permite ejecutar código sin autenticación, lo que puede derivar en robo de datos e intrusiones más profundas.

¿Se usó IA para hallarlo?

Sí, Wiz y Calif usaron las herramientas de OpenAI, y se describió como el fallo más importante jamás encontrado por IA.

Conclusión y perspectivas

El episodio demuestra que una sola vulnerabilidad en software de código abierto ampliamente usado puede interrumpir servicios públicos en varios continentes. Los analistas temen una larga cola de sitios sin mantenimiento permanentemente vulnerables. Mejorar la seguridad de los servidores web y reducir la dependencia de versiones de PHP sin soporte será esencial.