PHP2Shell: dos fallos críticos de PHP llevan a desconectar webs

Una de las tecnologías que sostienen buena parte de las páginas que visitamos cada día acaba de provocar una carrera por actualizar servidores. Dos vulnerabilidades críticas de PHP, conocidas como PHP2Shell, han llevado a desconectar servicios de forma preventiva mientras sus responsables aplicaban las correcciones.

Las actualizaciones se publicaron el 21 de octubre y la prioridad es instalarlas cuanto antes. El alcance potencial es muy amplio: el problema afecta al motor que ejecuta las aplicaciones, por lo que también puede alcanzar a webs cuyo código y gestor de contenidos estén al día.

Qué es PHP2Shell y por qué resulta tan peligroso

PHP es un lenguaje que trabaja en el servidor para generar páginas, consultar bases de datos y procesar información antes de enviarla a nuestro navegador. Está detrás de numerosos servicios cotidianos, así que un fallo en esa capa puede tener consecuencias mucho más allá de una aplicación concreta.

PHP2Shell agrupa las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, ambas calificadas con una gravedad de 9,2 sobre 10. En determinadas condiciones permiten ejecutar código de forma remota sin necesidad de iniciar sesión, lo que abre la puerta a comprometer el servidor afectado.

El aviso del NCSC británico explica que los errores están relacionados con la gestión de memoria y de situaciones de fallo. Uno puede dejar datos internos a medio inicializar; el otro conserva referencias a memoria que ya se ha liberado y puede reutilizarse indebidamente en una petición posterior.

Según la investigación de Wiz, las consecuencias también incluyen la lectura de memoria del proceso. Allí pueden encontrarse contraseñas, tokens de autenticación o claves de acceso a servicios, de modo que el riesgo abarca tanto el control de la máquina como la exposición de información sensible.

Por qué WordPress y tantas otras webs están en el foco

Para entender la dimensión del aviso basta mirar el uso de PHP. W3Techs lo sitúa en el 69,3% de los sitios cuyo lenguaje del servidor puede identificar: es una medida de su presencia en la web, no un recuento de páginas atacadas o comprometidas.

WordPress, Drupal, Joomla y MediaWiki forman parte de este ecosistema, y los investigadores han demostrado ataques contra aplicaciones reales. El origen está en PHP, por lo que mantener actualizado el gestor de contenidos no basta para corregir estas vulnerabilidades del servidor.

El equipo de PHP pide revisar todas las instalaciones que atienden peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Considera especialmente elevado el riesgo en mod_php, donde se ha demostrado un ataque que se activa antes de ejecutar el código de la propia aplicación.

En Teknofilo ya contamos cómo una vulnerabilidad de Jetpack obligó a actualizar millones de webs con WordPress. PHP2Shell afecta a otra pieza de la infraestructura: el entorno que ejecuta esos sitios, cuya actualización suele gestionar el proveedor de alojamiento o el administrador del servidor.

Los cierres de webs responden a medidas de precaución

El Gobierno de Países Bajos confirmó que varios servicios públicos se retiraron temporalmente de Internet el 21 de octubre. Entre los ejemplos citó Overheid.nl, MijnOverheid.nl y DigiD, el sistema de identificación digital utilizado para acceder a servicios oficiales.

La recomendación británica ayuda a entender estas decisiones. El NCSC aconseja valorar la desconexión temporal cuando no sea posible actualizar ni aplicar las mitigaciones con suficiente rapidez, para reducir la exposición mientras se resuelve el problema.

Wikimedia también detalló cierres preventivos y una recuperación progresiva. En su actualización de la mañana del 22 de octubre, Cloud VPS y Toolforge seguían fuera de servicio, mientras Phabricator y otros sistemas ya habían sido restaurados; hablar de sus herramientas afectadas resulta más preciso que atribuir una caída general a Wikipedia.

Que una web se haya desconectado como precaución no acredita por sí solo un robo de datos. Para sus visitantes, la consecuencia visible puede ser un servicio temporalmente inaccesible, mientras sus responsables comprueban la instalación y preparan una reapertura segura.

Qué versiones de PHP corrigen las vulnerabilidades

El proyecto publicó cuatro actualizaciones de seguridad para las ramas mantenidas de PHP. Estas son las versiones que incorporan las correcciones anunciadas el 21 de octubre, según el aviso oficial del lenguaje.

En distribuciones Linux y servicios con mantenimiento prolongado, el proveedor puede incorporar los parches a su propio paquete sin adoptar exactamente la numeración de la tabla. Por eso conviene confirmar el estado de seguridad con quien mantiene la instalación, además de consultar el número de versión.

Los sistemas con PHP 8.1 o versiones anteriores requieren especial atención porque esas ramas ya no tienen mantenimiento oficial ordinario. El proyecto ha facilitado excepcionalmente correcciones mínimas de código fuente para 7.4, 8.0 y 8.1, pero eso no equivale a recuperar su soporte habitual.

Para quien administra una web, el paso práctico es verificar con su alojamiento que el PHP que atiende las peticiones ya incorpora las correcciones. También conviene identificar aplicaciones y productos que incluyan PHP internamente: actualizar una instalación y dejar otra expuesta mantendría parte del riesgo.

AWS detectó intentos de explotación antes del anuncio público

La alerta tampoco se limita a una posibilidad teórica. Amazon Threat Intelligence identificó un intento de explotación del 17 de octubre en MadPot, su red de sistemas señuelo, cuatro días antes de que se publicaran las correcciones.

AWS observó después más intentos procedentes de infraestructura de anonimización, con diferencias que sugieren la participación de varios actores. La compañía precisó que seguía analizando lo ocurrido y que no estaba claro si esos intentos concretos habrían tenido éxito contra sistemas reales.

Tras la publicación de los parches aparecieron nuevas pruebas de concepto y su uso contra los sensores de Amazon fue casi inmediato. AWS afirma que PHP2Shell ya está siendo explotado de forma amplia, lo que refuerza la urgencia de actualizar y de revisar posibles indicios de intrusión.

Cloudflare desplegó protecciones en su cortafuegos de aplicaciones web, también para usuarios del plan gratuito, y observó cambios en los ataques para intentar eludirlas. Estas defensas añaden una capa de protección, pero tanto Cloudflare como el equipo de PHP insisten en que la solución completa exige aplicar los parches.

La IA aceleró la investigación de un problema que llevaba años pendiente

La investigación reunió a Calif, Wiz, OpenAI y los responsables de PHP, con herramientas de inteligencia artificial ayudando a analizar el código y validar ataques. El trabajo de Calif se desarrolló dentro de Patch the Planet, una iniciativa orientada a encontrar y corregir fallos en software ampliamente utilizado.

Hay un antecedente especialmente relevante: la PHP Foundation reconoce que ya aparecieron indicios de uno de los problemas en 2024. La dificultad para elegir una solución compatible, la ausencia entonces de una vía de ataque demostrada y la falta de recursos retrasaron su corrección; la fundación ha reconocido un fallo estructural en ese proceso.

La recta final tampoco fue tranquila. La circulación anticipada de los identificadores de las vulnerabilidades y otros detalles llevó al proyecto a adelantar la publicación de las actualizaciones del 22 al 21 de octubre, mientras los distribuidores terminaban de preparar sus paquetes.

El caso muestra cómo la IA puede ayudar a convertir un fallo difícil de demostrar en un riesgo práctico, pero también a encontrarlo y corregirlo. La lección que extrae la propia fundación es que hacen falta procesos de decisión más ágiles y suficientes ingenieros con experiencia para sostener la seguridad de una tecnología tan extendida.