Última hora: “PHP2Shell”, la falla crítica que tiene a medio internet parcheando contra reloj
domingo, 25 de octubre de 2026 · 2 min de lectura
Dos fallas críticas en PHP, “PHP2Shell”, con severidad 9.2 sobre 10, exponen a cerca del 70% de los sitios web. Parches de emergencia desde el 21 de octubre, millones de intentos de explotación detectados y gobiernos europeos que bajaron sus portales por prevención.
Última hora en el mundo digital: “PHP2Shell”, el nombre con el que se conocen dos fallas críticas en PHP, mantiene a millones de administradores de sitios web en una carrera contrarreloj para parchear. PHP mueve cerca del 70% de los sitios de internet, incluidos los construidos con WordPress, Drupal y Joomla.
Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código en un servidor sin iniciar sesión y tienen severidad 9.2 sobre 10. Estuvieron escondidas más de una década hasta que la inteligencia artificial, GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google, con investigadores de Wiz y Calif, ayudó a encontrarlas.
La Fundación PHP publicó parches de emergencia el 21 de octubre de 2026: versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La divulgación se adelantó un día por una filtración en un foro de hackers el 20 de octubre.
Desde entonces, Cloudflare reportó millones de intentos de explotación, la NSA y el FBI de Estados Unidos advirtieron que hay que parchear de inmediato o bajar los sitios, y portales de gobiernos de Alemania, Francia y Finlandia se desconectaron por prevención. Hasta ahora no se ha confirmado ningún compromiso exitoso, según la Fundación PHP y la firma Dataminr.
La recomendación sigue vigente hoy: si administras un sitio web, verifica ya la versión de PHP de tu servidor y aplica el parche. La ventana para actuar se mide en horas.
Etiquetas: Ciberseguridad, PHP, Tecnología, Última hora