Los desarrolladores de PHP han lanzado actualizaciones de seguridad urgentes para abordar dos vulnerabilidades de seguridad de extrema gravedad conocidas como PHP2Shell, que otorgan a los atacantes la capacidad de ejecutar código malicioso de forma remota (Remote Code Execution) sin necesidad de autenticación previa, en medio del registro de ataques reales que intentan explotarlas en la red de internet.
Detalles de las vulnerabilidades y puntos de peligro en el motor PHP
Las dos vulnerabilidades se registraron bajo los identificadores CVE-2026-109618, resultante de la corrupción de memoria por agotamiento de la misma (Out-of-Memory Corruption), y CVE-2026-109619, relacionada con un estado global antiguo y desincronizado (Stale Global State), y obtuvieron una puntuación de gravedad de 9.2 en la escala CVSS. La Fundación PHP (PHP Foundation) confirmó que ambas vulnerabilidades residen en mecanismos sensibles por los cuales pasa casi todas las solicitudes dentro del motor, que son la gestión de memoria y el procesamiento de errores de programación, lo que hace que su impacto sea amplio y su solución extremadamente compleja.
La fundación explicó que cada servidor PHP que procesa solicitudes web está en riesgo, incluidos los servidores Apache mediante mod_php, los entornos PHP-FPM, php-cgi, FrankenPHP, además de LiteSpeed. El problema también se extiende a la lectura del espacio de memoria privado de los procesos, lo que podría exponer claves de interfaces de programación (API Keys), contraseñas y datos sensibles almacenados en caché.
Filtración temprana y ataques que se anticipan al parche
Estaba planeado el anuncio coordinado de las vulnerabilidades para el 22 de octubre; sin embargo, una filtración involuntaria de los detalles y fragmentos de prueba de concepto (PoC) en internet impulsó al equipo a adelantar la fecha de la solución. Durante las horas previas a la actualización general, entidades de seguridad, entre ellas WatchTowr, Patchstack, Cloudflare y Hadrian, detectaron intentos de explotación masiva dirigidos principalmente a la ruta de seguimiento de carga de sesiones (session upload-progress) en PHP.
Las actualizaciones acompañadas de las soluciones incluyeron las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, además de parches de retrocompatibilidad limitados del código fuente para versiones anteriores como PHP 7.4, 8.0 y 8.1, ya que la raíz del fallo se remonta históricamente a versiones que datan de PHP 5.4.
El papel de los modelos de inteligencia artificial en el descubrimiento
La empresa de seguridad en la nube Wiz, en colaboración con OpenAI y Calif Labs, descubrió las vulnerabilidades en el mes de agosto. Aunque el fallo inicial relacionado con el agotamiento de memoria se detectó por primera vez en 2020 y se redescubrió en 2024, no se clasificó como un peligro inminente debido a que no se había demostrado su capacidad de explotación programática en ese momento. Sin embargo, el uso de modelos avanzados de inteligencia artificial permitió a los investigadores ensamblar cadenas de explotación sumamente complejas que transformaron una debilidad de memoria en la ejecución de comandos remotos.
Por qué importa este desarrollo y cuál es su impacto
PHP impulsa aproximadamente al 70% de los sitios web en todo el mundo y en él confían plataformas populares de gestión de contenido como WordPress, Drupal y MediaWiki (que opera Wikipedia). La existencia de un fallo en el motor principal del lenguaje significa que millones de sitios se han vuelto vulnerables a la piratería informática, incluso si las aplicaciones de software instaladas sobre ellos están completamente seguras y libres de errores, lo que obliga a los administradores de sistemas y equipos de operaciones a aplicar las actualizaciones de inmediato y verificar los registros de los servidores para garantizar que no hayan sufrido un acceso no autorizado proactivo.