Alerta de seguridad: “PHP2Shell” expone al 70% de la web y la NSA y el FBI piden parchear ya o bajar los sitios
Resumen de Orientación Ciudadana SIM
Dos fallas críticas en PHP, bautizadas “PHP2Shell”, permiten tomar un servidor sin iniciar sesión. La NSA y el FBI pidieron parchear de inmediato o desconectar los sitios; Cloudflare ya detectó millones de intentos de explotación y gobiernos europeos bajaron portales por prevención.
La alerta es de las grandes: dos vulnerabilidades críticas en PHP, bautizadas “PHP2Shell”, permiten a un atacante ejecutar código en un servidor web sin necesidad de iniciar sesión. PHP es el lenguaje detrás de cerca del 70% de los sitios de internet, por lo que el alcance potencial es masivo.
Las fallas, CVE-2026-109618 y CVE-2026-109619, tienen una severidad de 9.2 sobre 10. Fueron descubiertas con ayuda de inteligencia artificial, los modelos GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google, junto a investigadores de Wiz y Calif, tras permanecer escondidas más de una década en el código.
La Fundación PHP publicó parches de emergencia el 21 de octubre de 2026 (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35). La Agencia de Seguridad Nacional (NSA) y el FBI de Estados Unidos advirtieron que los servidores sin actualizar corren alto riesgo de compromiso, robo de datos o toma total, y recomendaron parchear de inmediato o bajar los sitios hasta poder hacerlo.
La urgencia no es teórica: la divulgación se adelantó un día por una filtración en un foro de hackers el 20 de octubre, Cloudflare reportó millones de intentos de explotación poco después, y sitios de gobiernos de Alemania, Francia y Finlandia se desconectaron por prevención. La Fundación PHP y la firma Dataminr señalan que, hasta ahora, no se ha confirmado ningún compromiso exitoso.
La recomendación para cualquier administrador de un sitio es verificar hoy mismo qué versión de PHP usa su servidor y aplicar el parche correspondiente. En seguridad, la ventana entre la divulgación y el primer ataque exitoso se mide en horas.
