Realidad de la amenaza de seguridad
La vulnerabilidad PHP2Shell, compuesta por dos vulnerabilidades de software (CVE-2026-109618 y CVE-2026-109619), continúa representando una amenaza existencial para la infraestructura web. A pesar de haber obtenido una clasificación de severidad muy alta (9.2) según la escala CVSS, la respuesta de las organizaciones a los procesos de parcheo sigue siendo preocupantemente débil.
Según los datos de la empresa Ox Security, aproximadamente el 93.6% de los sistemas siguen siendo vulnerables a la intrusión cinco días después del descubrimiento de la vulnerabilidad. Los investigadores afirman que el ritmo de reparación sigue siendo extremadamente lento, lo que deja los activos digitales sensibles expuestos ante los atacantes.
¿Por qué es importante esta noticia?
La gravedad de la situación radica en que alrededor del 70% de los sitios web que utilizan lenguajes de programación del lado del servidor dependen de PHP. Estudios de empresas de seguridad como Censys y Flare indican la existencia de millones de servicios que funcionan con versiones de PHP no compatibles, lo que significa que no recibirán actualizaciones de seguridad oficiales y requieren un mayor esfuerzo técnico para migrar a versiones seguras.
Los desafíos que enfrentan los equipos de seguridad incluyen:
- Dependencia de versiones antiguas: Se estima que más del 70% de los servicios escaneados funcionan con versiones de PHP que ya no cuentan con soporte por parte del proyecto principal.
- Complejidad de la actualización: Actualizar sistemas heredados requiere abordar problemas de compatibilidad y actualizar aplicaciones, lo cual es más complejo que simplemente aplicar un parche de software.
- Escalada de ataques: La empresa Cloudflare ha detectado un salto masivo en los intentos de explotación, pasando de miles de intentos antes del anuncio de la vulnerabilidad a millones de intentos en la actualidad.
Medidas gubernamentales y restricciones
Ante esta falta de acción, las agencias gubernamentales han tomado medidas decisivas; la Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA) ha obligado a las agencias federales civiles a abordar la vulnerabilidad para el 29 de octubre de 2026. Además, la vulnerabilidad ha provocado el cierre permanente de algunas plataformas basadas en PHP debido a la incapacidad de asegurarlas.
Los expertos subrayan que depender del parcheo manual ya no es suficiente ante la amplia propagación de los ataques, y que las organizaciones que aún operan con versiones sin soporte se enfrentan a un riesgo inminente de sufrir brechas de seguridad exitosas.