Dos vulnerabilidades críticas en PHP, el lenguaje de programación que utilizan millones de sitios web, encendieron las alertas internacionales de ciberseguridad y llevaron a diversas organizaciones a desconectar temporalmente sus portales mientras aplican medidas de protección.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619 y asociados con el nombre PHP2Shell, podrían permitir que un atacante ejecute código de forma remota sin necesidad de autenticarse, lo que abriría la puerta al acceso no autorizado a sistemas, archivos y bases de datos. Ambos recibieron una calificación de gravedad de 9.2 sobre 10.
La alerta cobró relevancia este miércoles 21 de octubre, después de que el equipo de desarrollo de PHP publicara actualizaciones de emergencia. Mientras tanto, autoridades y administradores de sistemas en distintos países recomendaron corregir las instalaciones vulnerables o desconectar temporalmente los servicios que no pudieran protegerse de inmediato.
¿Qué es PHP2Shell y cómo funciona la vulnerabilidad?
PHP2Shell es el nombre con el que se identifican estas fallas de seguridad, relacionadas con la manera en que PHP gestiona determinados errores y situaciones de corrupción de memoria.
De acuerdo con los avisos técnicos, una de las vulnerabilidades puede activarse cuando una solicitud lleva al sistema al límite de memoria configurado. En esas condiciones, PHP podría dejar estructuras internas en un estado inconsistente y procesarlas posteriormente como si fueran válidas. La otra falla también está relacionada con el manejo de errores y puede abrir una vía para ejecutar código de manera remota.
El principal riesgo es la ejecución remota de código, conocida como RCE por sus siglas en inglés. Si un servidor es vulnerable y se cumplen las condiciones necesarias, un atacante podría ejecutar instrucciones sin contar previamente con una cuenta autorizada.
Esto puede comprometer la información almacenada, facilitar el acceso a bases de datos o permitir que el intruso tome el control de componentes del sistema. La explotación no significa, sin embargo, que todos los sitios que utilizan PHP hayan sido hackeados.
¿Qué sitios web están en riesgo?
PHP está presente en una parte considerable de Internet y se utiliza para generar páginas dinámicas, procesar formularios y conectar sitios con bases de datos. Su uso abarca desde blogs y tiendas en línea hasta portales institucionales y plataformas empresariales.
Entre los sistemas y aplicaciones que pueden depender de PHP se encuentran:
- WordPress, utilizado para administrar sitios web y publicaciones digitales.
- Magento, empleado en plataformas de comercio electrónico.
- Joomla y Drupal, sistemas de gestión de contenidos.
- Aplicaciones y servicios desarrollados con frameworks como Laravel.
No obstante, la presencia de estas tecnologías no implica por sí sola que una página sea vulnerable. El riesgo depende de la versión de PHP, la forma en que está instalado y configurado el servidor, y los componentes que intervienen en el procesamiento de las solicitudes.
El equipo oficial de PHP advirtió que el problema puede afectar instalaciones que reciben solicitudes web, incluidas aquellas que utilizan PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed.
¿Qué países desconectaron sitios web por la alerta?
La respuesta internacional incluyó medidas preventivas para reducir el riesgo de intrusiones mientras se distribuían las correcciones.
Reuters informó que organizaciones gubernamentales, educativas y sanitarias en distintos puntos de Europa retiraron temporalmente algunos sitios de Internet. Entre los países que adoptaron medidas se encuentran Países Bajos, Alemania, Francia, Bélgica y Finlandia.
La recomendación de desconectar temporalmente un portal está dirigida, sobre todo, a los administradores que no pueden instalar de inmediato las actualizaciones necesarias o confirmar que sus sistemas están protegidos.
Estas interrupciones no significan que todos los servicios públicos de los países mencionados hayan quedado fuera de línea ni que se haya confirmado una intrusión en cada uno de ellos. En varios casos, la desconexión fue una medida de precaución.
¿Qué actualizaciones corrigen las fallas de PHP2Shell?
El equipo de desarrollo de PHP publicó el 21 de octubre cuatro versiones de seguridad para corregir ambas vulnerabilidades:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
La recomendación oficial es actualizar a la versión corregida correspondiente a la rama que utiliza cada servidor. El equipo de PHP indicó que no existe una mitigación completa que sustituya la instalación de los parches.
Los administradores también deben comprobar si sus proveedores de alojamiento han aplicado las actualizaciones y revisar los registros del servidor para detectar actividad sospechosa. Si existen indicios de que un sistema fue comprometido, actualizar el software no basta por sí solo: es necesario investigar el incidente y evaluar si hubo acceso no autorizado.
En el caso de instalaciones antiguas que ya no reciben soporte oficial, los responsables deben consultar con su proveedor las opciones disponibles para migrar a una versión mantenida o aplicar una solución de seguridad compatible. No es recomendable modificar parámetros de configuración al azar ni asumir que una medida provisional elimina el riesgo.
¿Qué es PHP y por qué se utiliza en tantos sitios web?
PHP es un lenguaje de programación de código abierto diseñado especialmente para el desarrollo web. Se ejecuta principalmente en el servidor y permite generar páginas dinámicas, procesar información enviada por los usuarios y comunicarse con bases de datos.
Por ejemplo, puede intervenir cuando una persona inicia sesión, publica contenido en un sitio, realiza una búsqueda o consulta productos en una tienda en línea. En muchos casos, el usuario no ve directamente el código PHP, pero este participa en la generación de la página que aparece en su navegador.
Su amplia presencia explica la preocupación por las vulnerabilidades: una falla en el lenguaje puede afectar a numerosas plataformas que dependen de él. Sin embargo, el alcance real de PHP2Shell está condicionado por las versiones instaladas, las configuraciones de cada servidor y la rapidez con que se implementen las correcciones.
