Fallo crítico en PHP: apagones globales y parches

Un fallo crítico de PHP descubierto a finales de octubre de 2026 obligó a gobiernos y empresas de Europa, Asia y Norteamérica a retirar sus sitios web mientras aplicaban parches de emergencia. Las dos vulnerabilidades, conocidas conjuntamente como PHP2Shell, afectan al lenguaje de código abierto que impulsa cerca del 70% de todos los sitios web, según la PHP Foundation.

¿Qué es la vulnerabilidad PHP2Shell?

La PHP Foundation reveló dos fallos de ejecución remota de código —CVE-2026-109618 y CVE-2026-109619— el 21 de octubre de 2026. Ambos tienen una puntuación CVSS de 9,2 y permiten a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables. Los errores existían desde PHP 5.4 y se descubrieron con ayuda de modelos de IA, lo que los convierte en las vulnerabilidades de PHP más importantes jamás halladas por IA.

Parches de emergencia y respuesta global

Autoridades como la NSA, el FBI, el NCSC británico y agencias de Singapur, Australia, Canadá y la UE instaron a los administradores a parchear de inmediato o desconectar sistemas. El Reino Unido emitió decenas de miles de alertas. Varios portales gubernamentales —Overheid.nl, DigiD, el Puerto de Róterdam, Valtori en Finlandia y la prefectura de policía de París— quedaron inactivos como precaución. La Fundación Wikimedia también suspendió servicios brevemente antes de restablecerlos tras parchear.

¿Qué sistemas están afectados?

Las versiones 5.4 a 8.5.11 de PHP están afectadas. Los parches se publicaron el mismo día en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Apache con mod_php es la configuración más expuesta, aunque PHP-FPM, php-cgi, FrankenPHP y LiteSpeed también podrían ser vulnerables. Las organizaciones deben inventariar sus instalaciones, priorizar sistemas expuestos a internet, aplicar actualizaciones, verificar contenedores y revisar registros en busca de explotación.

Cómo explotaron los atacantes el fallo antes de su divulgación

El equipo de inteligencia MadPot de Amazon detectó intentos de explotación cuatro días antes del aviso público. Cloudflare reportó millones de intentos en cuestión de horas. Dane Knecht, de Cloudflare, advirtió que las reglas de firewall son solo un paliativo y que parchear sigue siendo esencial.

Impacto e implicaciones

Los apagones coordinados subrayan la fragilidad del software fundacional de internet. Con PHP impulsando casi el 70% de los sitios web, un solo conjunto de fallos puede interrumpir servicios públicos, comercio electrónico y medios. Los entornos de alojamiento compartido que se actualizan lentamente y las versiones de PHP al final de su vida útil siguen en riesgo. No se habían confirmado compromisos exitosos verificados públicamente al viernes 23 de octubre de 2026, pero los equipos de seguridad continúan buscando señales de intrusión.

FAQ: parches de emergencia de PHP2Shell

¿Qué es PHP2Shell?

Es el apodo de dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten ejecución remota de código sin autenticación.

¿Qué versiones de PHP son vulnerables?

Todas desde la 5.4 hasta la 8.5.11. Las versiones parcheadas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

¿Por qué se retiraron los sitios web?

Muchas organizaciones cerraron servicios afectados como precaución, siguiendo las indicaciones de la NSA, el FBI, el NCSC y otras agencias.

¿Se ha explotado activamente el fallo?

Amazon detectó intentos en honeypots antes de la divulgación y Cloudflare vio millones después, pero no se confirmaron compromisos exitosos verificados al 23 de octubre de 2026.

¿Cómo protejo mi servidor PHP?

Actualice de inmediato a una versión parcheada, inventaríe sus instalaciones, priorice sistemas expuestos y revise los registros en busca de actividad sospechosa.

Conclusión

El incidente PHP2Shell recuerda que la infraestructura subyacente de la web suele estar mantenida por un pequeño grupo de voluntarios y fundaciones. La resiliencia a largo plazo exigirá mejor financiación, una adopción más rápida de actualizaciones y un uso más profundo de la IA para descubrir vulnerabilidades.