Las dos fallas críticas de seguridad en PHP, el lenguaje de programación que hace funcionar alrededor del 70% de los sitios web del mundo, cierran la semana como el mayor problema de ciberseguridad del año: los ataques ya suman millones de intentos y más de 34.4 millones de servicios seguían corriendo versiones vulnerables hasta el viernes.
Las vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619 y bautizadas como «PHP2Shell», recibieron una calificación de severidad de 9.2 en la escala CVSS. En términos simples, pueden permitir a un atacante ejecutar código a distancia y tomar el control de un servidor web.
Halladas con inteligencia artificial
El código defectuoso llevaba más de diez años dentro del motor de PHP; el error se remonta a la versión 5.4, de 2012. Lo encontró primero la firma Calif, durante una auditoría del código de PHP financiada por OpenAI, y después, de forma independiente, la empresa de ciberseguridad Wiz, que combinó su herramienta con modelos de IA de Google y OpenAI.
Wiz la calificó como la vulnerabilidad más grave descubierta con inteligencia artificial y la comparó con Heartbleed (2014) y Log4Shell (2021). La divulgación coordinada se adelantó por una filtración el 20 de octubre, y el equipo de PHP liberó los parches el 21 de octubre.
Sitios de gobierno, fuera de línea
Ante el riesgo, varios organismos optaron por desconectar sus páginas de forma preventiva. En el Reino Unido llegaron a estar fuera de servicio 32 servicios gubernamentales, de acuerdo con AFP. También se desconectaron sitios de prefecturas francesas, del centro de servicios informáticos del gobierno alemán y de la Oficina de Responsabilidad Presupuestaria británica, mientras la autoridad de comunicaciones de Finlandia emitió una alerta.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtió que estas fallas «a menudo ofrecen acceso directo al sistema de archivos o a la base de datos del servidor». El equipo de respuesta a emergencias de la Unión Europea, CERT-EU, recomendó desconectar los sitios que no puedan actualizarse.
Millones de intentos de ataque
Cloudflare registró decenas de miles de intentos de explotación en los 45 minutos posteriores al anuncio, cientos de miles en dos horas y millones para el 22 de octubre. Hasta ahora no se ha confirmado públicamente ningún ataque exitoso de ejecución remota.
Sin embargo, investigadores de VulnCheck ya desarrollaron un ataque funcional que evade las protecciones de memoria, y Sophos bloqueó intentos ligados a una variante de la red de bots Mirai llamada Potassium. El 23 de octubre se reveló además una tercera falla, considerada de riesgo bajo y que puede mitigarse con un ajuste de configuración.
Qué deben hacer los administradores
La recomendación es actualizar de inmediato a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Las versiones 7.4, 8.0 y 8.1 dependen de parches de cada distribución. Los especialistas subrayan que actualizar WordPress o sus complementos no es suficiente: la corrección debe hacerse en el servidor.
El caso se suma a otros ataques automatizados con IA en la región: la firma Straiker documentó agentes de inteligencia artificial dirigidos contra más de 400 bancos y empresas de pagos en América Latina.
Deja una respuesta