Este miércoles, 21 de octubre de 2026, muchas webs amanecieron en mantenimiento. Portales de gobiernos europeos, autoridades de protección de datos y hasta sistemas de Wikipedia se desconectaron de forma preventiva. El motivo tiene nombre: PHP2Shell.
Se trata de dos vulnerabilidades críticas en PHP, el lenguaje con el que funcionan cerca del 70% de las webs cuyo lenguaje de servidor se puede identificar, según W3Techs. Los responsables del proyecto ya han publicado la corrección y piden actualizar de inmediato.
Qué es PHP2Shell
PHP trabaja en el servidor, la parte de una web que no se ve. Genera el contenido, consulta las bases de datos y prepara cada página antes de que llegue al navegador. Lo usan WordPress (que mueve alrededor del 40% de todas las webs), Drupal, Joomla, Magento y miles de aplicaciones a medida.
Las dos vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, afectan a cómo PHP gestiona la memoria en determinadas peticiones. Un atacante puede aprovecharlas para ejecutar órdenes en el servidor sin iniciar sesión. En la práctica, eso puede suponer el control de la web, el acceso a la base de datos o la alteración de sus páginas.
La gravedad es máxima: 9,2 sobre 10 en la escala estándar del sector. El ingeniero de seguridad de la fundación que mantiene PHP lo ha calificado como el problema más grave del proyecto en más de una década y lo ha comparado con Heartbleed, el fallo que en 2014 obligó a parchear cientos de miles de servidores en todo el mundo.
Descubierto con inteligencia artificial
Lo más llamativo es cómo se encontró. Un investigador de la firma de seguridad Calif dio con el fallo en agosto con ayuda de GPT-5.6 Sol, uno de los modelos más avanzados de OpenAI, durante una auditoría del código de PHP financiada por la propia OpenAI. El equipo de Wiz, propiedad de Google, llegó por su cuenta a conclusiones similares y reportó la segunda vulnerabilidad el 24 de agosto.
El origen del problema llevaba años en el código. Ya se había señalado como posible riesgo, pero se consideraba demasiado difícil de explotar. La IA encontró la manera.
Corregirlo supuso modificar cerca de 200 archivos y escribir más de 10.000 líneas de código. El parche estaba previsto para el 22 de octubre, pero la noticia se filtró en un foro técnico y el equipo de PHP lo adelantó un día.
Por qué hay tanta prisa
Cuando se publica un parche empieza una carrera. Los atacantes estudian qué ha cambiado en el código para deducir cómo explotar el fallo en los servidores que todavía no se han actualizado. Con IA, ese trabajo que antes llevaba semanas puede hacerse en horas.
Cloudflare ya ha detectado tráfico de ataque dirigido contra estas vulnerabilidades. Por eso agencias como la NSA, CISA, CERT-EU o el NCSC británico coinciden en el mensaje: actualizar ya y, si no es posible, desconectar el sistema hasta poder hacerlo.
Conviene matizar una cosa. Que haya intentos de ataque no significa que las webs que se han desconectado hayan sido comprometidas. La mayoría de esos apagados son preventivos.
Qué versiones corrigen el fallo
PHP ha publicado versiones corregidas para las ramas que siguen con soporte:
| Rama | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Quien use PHP 8.1 o versiones anteriores no tiene parche oficial. Necesita un proveedor con soporte extendido o migrar a una versión actual.
Lo que tu empresa debe hacer hoy
- Averiguar qué webs y aplicaciones usan PHP, incluidas landings, blogs y herramientas internas.
- Saber quién actualiza PHP en cada servidor. En muchos alojamientos lo gestiona el proveedor, no el dueño de la web. Las actualizaciones automáticas de WordPress no incluyen esta corrección.
- Actualizar primero lo que está expuesto a internet.
- Si no se puede actualizar hoy, desconectar o poner en mantenimiento y reforzar la protección con un cortafuegos web mientras tanto.
Una señal de lo que viene
PHP2Shell marca un antes y un después: es una de las primeras vulnerabilidades de esta magnitud encontradas gracias a la IA, y probablemente no será la última. La misma tecnología que ayuda a encontrar fallos ayuda a explotarlos. Tener las webs al día ya no admite esperar al próximo trimestre.
Fuentes: The Wall Street Journal en El Mundo, Xataka, El País y N+, 21 de octubre de 2026; datos de uso de W3Techs. Noticia en desarrollo: revisaremos las cifras y las versiones si cambian.
