PHP2Shell: la inteligencia artificial descubrió una falla de PHP que dejó expuesta a buena parte de la web

El 21 de octubre de 2026, PHP, el lenguaje en el que corren WordPress, Drupal, Joomla, Magento y millones de sitios, publicó un aviso con dos palabras al final del título: «update now», actualiza ya. Corrigió dos fallas críticas que la prensa bautizó PHP2Shell. Lo inusual no fue solo su gravedad, sino cómo se encontraron: con ayuda de inteligencia artificial.

Te contamos qué se sabe, qué dicen los investigadores, por qué varios gobiernos desconectaron sus sitios y qué debería hacer hoy una empresa que tiene su web, su tienda o su plataforma en PHP.

Qué es PHP2Shell

PHP2Shell agrupa dos vulnerabilidades del propio motor de PHP: CVE-2026-109618 y CVE-2026-109619. No dependen de un plugin, una contraseña débil o una mala configuración del sitio. Están en la pieza que ejecuta el código de la página, por eso afectan a cualquier aplicación que corra encima.

Las dos tienen que ver con cómo PHP maneja la memoria cuando una petición termina con un error grave, por ejemplo al quedarse sin memoria. En esos casos pueden quedar datos internos dañados o «vivos» después de liberarse, y una petición posterior puede usarlos. Con peticiones preparadas, un atacante puede terminar ejecutando código en el servidor sin iniciar sesión.

• CVE-2026-109618: PHP se queda sin memoria a mitad de preparar una petición y luego trata datos a medio armar como si fueran válidos.
• CVE-2026-109619: datos de una petición sobreviven a su memoria liberada y la siguiente petición del mismo proceso los reutiliza.

«Todas las versiones de PHP publicadas en la última década están afectadas por al menos una de estas vulnerabilidades». — Wiz Research

Cómo la inteligencia artificial encontró la falla

La historia empieza mucho antes. En 2004, el investigador Stefan Esser ya había encontrado un ataque remoto basado en el límite de memoria de PHP. En 2024, una auditoría de OSTIF y Quarkslab detectó un problema parecido, pero como no se demostró que fuera explotable, no se corrigió. La falla siguió ahí durante más de una década.

En agosto de 2026, dos equipos la encontraron casi al mismo tiempo y por caminos distintos:

• Calif, una firma de seguridad de California, dentro de Patch the Planet, la iniciativa de OpenAI para buscar fallas en software de código abierto muy usado. Según OpenAI, usó su modelo GPT-5.6 Sol. Calif describe la IA como un «compañero de auditoría» que revisó el manejo de memoria de PHP y ayudó a generalizar el primer error para encontrar el segundo.
• Wiz Research, de forma independiente, con su plataforma Wiz Atlas y los modelos Gemini 4 Argon y GPT-5.6 Sol. Wiz confirmó ataques sin credenciales contra Drupal y WordPress uno y dos días después de encontrar el primer error.

Donde más pesó la IA fue en convertir los errores en ataques reales. Según Wiz, hacerlo exigía combinar varias fallas y ajustarse a la memoria de cada servidor, algo difícil incluso para especialistas. Los modelos probaron, depuraron y adaptaron esos ataques a distintas versiones y aplicaciones en cuestión de horas.

«Ningún modelo es capaz de descubrir “todos los errores” con instrucciones simples. Al menos por ahora». — Calif

OpenAI fue más lejos: dijo que, hasta donde sabe, la IA encontró estas fallas antes que los atacantes, y que considera el caso uno de los problemas de seguridad más importantes de los últimos tiempos. También advirtió que los hallazgos de este tipo van a «aumentar bruscamente en los próximos meses».

Cronología de PHP2Shell

La filtración: el parche llegó con los atacantes ya mirando

El plan era publicar el parche con todo listo. No salió así. Antes de la fecha acordada circularon detalles en Hacker News, en redes sociales y hasta un video de prueba. PHP adelantó la publicación y aun así llegó tarde para algunos: Cloudflare reportó tráfico de ataque contra sus clientes y vio cómo los atacantes cambiaban sus peticiones para saltarse las protecciones. watchTowr, que reprodujo la falla, también detectó intentos en sus señuelos.

La firma Sansec estimó que los ataques masivos empezarían unos 15 minutos después de publicado el parche. Es lo normal: en cuanto sale una corrección, los atacantes la comparan con la versión anterior, deducen la falla y lanzan herramientas automáticas que recorren internet buscando servidores sin actualizar.

«Lo de PHP va a provocar una oleada de incidentes: es una de las vulnerabilidades más grandes en años». — Kevin Beaumont, investigador de seguridad

Gobiernos que apagaron sus sitios

La reacción oficial fue inusualmente dura. Varios países europeos desconectaron sitios por precaución, entre ellos el portal del gobierno de los Países Bajos, servicios web del gobierno de Finlandia y los sitios del Ministerio del Interior de Francia. El NCSC del Reino Unido pidió sacar de línea los sistemas que no se pudieran corregir de inmediato y revisar si ya tenían puertas traseras. La NSA de Estados Unidos y la oficina de ciberseguridad de Japón también pidieron actualizar ya.

«Como todas las versiones pueden estar afectadas, no limites la búsqueda a las versiones de PHP desactualizadas». — NCSC, Reino Unido

Quién está en riesgo

Según PHP, cualquier instalación que atienda peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto está en Apache con mod_php, donde una sola petición sin credenciales puede disparar el ataque antes de que se ejecute el código del sitio.

Eso incluye blogs, tiendas en línea, portales de noticias, intranets, plataformas educativas como Moodle y aplicaciones hechas a medida en Laravel. Actualizar WordPress o sus plugins no sirve: la corrección tiene que hacerse en PHP.

Verifica si tu sitio está expuesto

Escribe tu dominio o la versión de PHP que te indicó tu proveedor. Si no logras saberlo, déjanos tus datos y lo revisamos gratis.

También puedes usar el verificador de vulnerabilidad de PHP en su propia página y compartirlo con tu equipo o tu proveedor de hosting.

Lo que PHP2Shell dice del futuro de la ciberseguridad

PHP2Shell abre un debate que va más allá de PHP. La misma IA que ayudó a encontrar la falla antes que los delincuentes puede ayudarles a construir ataques más rápido. OpenAI propuso un marco de cinco pasos para manejar las fallas que descubren los modelos, y su presidente, Greg Brockman, resumió el reto: los defensores necesitan reaccionar más rápido que los atacantes.

Para una empresa, la lección es práctica. El tiempo entre que se publica una falla y aparecen los ataques ya se mide en minutos, no en semanas. Esperar al próximo mantenimiento programado deja de ser una opción cuando el aviso dice «actualiza ya».

Te ayudamos a cerrar PHP2Shell hoy

En Nextech revisamos qué versión de PHP usa tu servidor, si está expuesto y si alguien ya intentó entrar. Después lo actualizamos sin tumbar tu sitio: en servidores propios, VPS, nube (AWS, Google Cloud, Azure, DigitalOcean) o con tu proveedor de hosting.

Los ataques automáticos ya están buscando servidores sin actualizar. Déjanos tus datos en el formulario y te contactamos hoy para revisar el tuyo sin costo.