Se filtraron en internet los detalles de dos vulnerabilidades de seguridad críticas en el lenguaje de programación PHP, en coincidencia con los preparativos para su publicación dentro del calendario de divulgación coordinada y antes de que las actualizaciones oficiales estuvieran completamente disponibles para los usuarios. Las vulnerabilidades llevan los identificadores CVE-2026-109618 y CVE-2026-109619, y ambas tienen una calificación de gravedad muy alta de 9.2 en la escala CVSS, lo que las hace susceptibles a una posible explotación sin necesidad de autenticación, según las advertencias de la Agencia de Ciberseguridad de la Unión Europea (CERT-EU).
Los informes técnicos denominaron a estas vulnerabilidades PHP2Shell, señalando la capacidad potencial de los atacantes para explotarlas y obtener privilegios de ejecución de comandos (Shell) en los servidores afectados. Las estimaciones iniciales indican que todas las versiones de PHP a partir de la versión 5 (PHP 5) en adelante podrían estar afectadas por estas fallas de software.
Preparativos de emergencia y confirmaciones de empresas de seguridad
Tras la filtración, PHP se apresuró a emitir advertencias exigiendo a todos los usuarios que se preparen para aplicar las actualizaciones tan pronto como estén disponibles, con la posibilidad de lanzar los parches de manera anticipada si surgen pruebas de explotación de las vulnerabilidades en entornos reales. Por su parte, la empresa de gestión de exposición previa (WatchTowr) confirmó que logró reproducir la vulnerabilidad CVE-2026-109618, limitándose a confirmar la existencia real de la falla sin publicar los detalles técnicos precisos por motivos de seguridad.
A pesar de que inicialmente las empresas WatchTowr y Huntress no detectaron ataques activos inmediatos, la firma de ciberseguridad (Sansec) advirtió sobre la posibilidad de que comiencen intentos de explotación masiva en cuestión de minutos desde el lanzamiento de los parches. Posteriormente, PHP lanzó las actualizaciones necesarias, en paralelo con la detección por parte de las empresas de ciberseguridad de intentos de explotación reales, algunos de los cuales se registraron incluso antes de que los parches llegaran a los servidores objetivo.
¿Por qué es importante esta noticia?
Este acontecimiento representa un grave peligro debido a que el lenguaje PHP es la columna vertebral de una proporción masiva de sitios web y servidores en todo el mundo. Las vulnerabilidades de ejecución remota de código (RCE) que no requieren autenticación permiten a los hackers tomar el control total de la infraestructura afectada. Asimismo, el evento pone de relieve los desafíos continuos en la gestión de vulnerabilidades cuando los detalles técnicos se filtran públicamente antes de que los parches estén disponibles, lo que ejerce una presión enorme sobre los equipos de seguridad para aplicar las actualizaciones a una velocidad récord y evitar ataques automatizados a gran escala.