Investigadores de seguridad anunciaron el descubrimiento de dos vulnerabilidades críticas en el motor del lenguaje de programación PHP, las cuales, según informes de la empresa de investigación Wiz, constituyen la base de aproximadamente el 70% de los sitios web en todo el mundo. Las dos fallas fueron detectadas bajo los identificadores CVE-2026-109618 y CVE-2026-109619, conocidas colectivamente como PHP2Shell, y obtuvieron una calificación de gravedad de 9.2 en la escala CVSS v4.0.
La empresa Calif.io logró descubrir una de las vulnerabilidades utilizando el modelo GPT-5.6 Sol de OpenAI, mientras que la empresa Wiz encontró de forma independiente ambas fallas utilizando la herramienta Wiz Atlas en cooperación con el modelo Gemini 4 Argon de Google y el modelo GPT-5.6 Sol. Asimismo, informes de Cloudflare señalaron la participación de otras entidades de seguridad como Quarkslab en la revelación de estos defectos de programación, cuya presencia se extendió por más de una década completa en varias versiones de PHP.
Defectos de seguridad latentes desde hace una década
Las raíces del problema se remontan al mecanismo mediante el cual el motor de PHP procesa los errores; cuando una solicitud de software falla o se queda sin la memoria disponible para ella, el motor puede dejar atrás referencias a memoria que ya ha sido liberada previamente (Use-After-Free). La siguiente solicitud procesada por el mismo trabajador puede tratar esas referencias como válidas.
Las investigaciones demostraron que los atacantes pueden explotar este comportamiento junto con fallas de confusión de tipos para acceder a datos confidenciales o ejecutar código malicioso de manera remota en plataformas populares como WordPress, Drupal y Joomla sin necesidad de iniciar sesión. Los investigadores confirmaron que parte del código afectado se remonta a la versión PHP 5.4, y estos defectos permanecieron ocultos durante todos esos años debido a la dificultad de combinar múltiples vulnerabilidades para crear un ataque exitoso, el cual fue el papel crucial que desempeñó la inteligencia artificial al acelerar el proceso de descubrimiento en cuestión de pocos días.
Velocidad de respuesta y lanzamiento de correcciones
El viaje de mitigación comenzó después de que Wiz descubriera la primera vulnerabilidad el 19 de agosto y confirmara su capacidad para ejecutar código en Drupal y luego en WordPress en los días siguientes. El equipo de seguridad de PHP fue notificado formalmente el 24 de agosto, y las versiones de parche se lanzaron el 21 octubre tras una coordinación intensiva que incluyó a importantes empresas como Cloudflare, Google Cloud, AWS, Microsoft y Akamai.
¿Qué cambia prácticamente para los desarrolladores y administradores de sistemas?
PHP lanzó las versiones seguras a las que los equipos de desarrollo y los administradores de sistemas deben actualizar sus servidores de inmediato: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. En caso de depender de distribuciones de Linux o de proveedores de alojamiento gestionado, se recomienda consultar a los proveedores para verificar la aplicación de las actualizaciones retroactivas (Backporting).
Además de esto, OpenAI propuso un marco proactivo de cinco etapas para abordar las vulnerabilidades descubiertas por la inteligencia artificial, el cual pasa por la verificación, las pruebas avanzadas a través de modelos, la distribución gradual de datos a distribuidores y proveedores de servicios hasta llegar a las agencias gubernamentales y la infraestructura crítica. La empresa también proporcionó una herramienta para escanear versiones de PHP localmente para verificar la presencia de copias vulnerables, advirtiendo que las herramientas de protección como los cortafuegos de aplicaciones web (WAF) representan una capa de defensa temporal y no reemplazan de ninguna manera la actualización real del código de programación en los servidores.