# PHP2Shell: fallas críticas dejaron expuestos servidores web

> Los parches evitaron, por ahora, una explotación masiva, pero investigadores reportan intrusiones y advierten que numerosos sistemas siguen sin actualizar.

Por Yaneska R.P. · 24 de octubre de 2026 · Tecnología

Dos vulnerabilidades de PHP, una tecnología de código abierto usada para crear sitios y aplicaciones web, permitieron ataques remotos sin contraseña contra sistemas que no habían sido actualizados. La Fundación PHP publicó parches el miércoles 21 de octubre de 2026, luego de coordinar con empresas tecnológicas una divulgación reservada para que pudieran prepararse.

Las fallas, conocidas como PHP2Shell, están identificadas como CVE-2026-109618 y CVE-2026-109619. La [alerta de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) y el [aviso de seguridad de PHP](https://www.php.net/archive/2026.php#2026-10-21-5) publicaron información sobre los defectos.

## Las fallas permiten tomar control de sistemas vulnerables

Investigadores de Calif encontraron los problemas durante una auditoría del código de PHP. Las vulnerabilidades habían sido identificadas inicialmente en 2024, pero entonces no se consideraban explotables y no fueron corregidas. El equipo comunicó sus hallazgos a la Fundación PHP, que preparó las soluciones y las compartió bajo reserva antes del anuncio público. Calif publicó [su análisis de PHP2Shell](https://calif.io/php2shell/).

Un ataque puede ejecutarse a través de internet, sin que la víctima abra un archivo o pulse un enlace. Según la explicación técnica, las fallas permiten ejecutar código de forma remota y acceder sin credenciales. Un atacante podría instalar programas maliciosos para robar información o conservar el acceso al sistema.

La alerta alcanzó a empresas de distintos sectores: algunos bancos, comercios, hospitales, sitios de juegos y organismos gubernamentales desconectaron servidores o servicios para instalar parches. La nota estima que cerca de 70% de la web expuesta a internet depende de PHP; el uso de la tecnología, sin embargo, ha disminuido gradualmente, según los datos de [seguimiento de tecnologías web](https://w3techs.com/technologies/details/pl-php).

## Reportan ataques antes y después de divulgar los parches

Amazon dijo que detectó intentos de explotación aproximadamente una semana antes de que los parches estuvieran disponibles y recomendó buscar indicios de actividad desde el 17 de octubre. La empresa afirmó que no estaba claro cómo los atacantes conocieron las fallas. Entre las posibilidades mencionadas por especialistas están una filtración, el descubrimiento independiente o el espionaje; ninguna fue establecida como explicación definitiva.

La Fundación PHP responsabilizó a una empresa por publicar los parches horas antes de que terminara el período de reserva. Ese episodio, según la fundación, pudo dar ventaja a atacantes que obtuvieran información sobre los cambios, pero no explica la actividad detectada por Amazon días antes.

Al cierre del viernes, Palo Alto Networks y Trail of Bits reportaron compromisos y actividad maliciosa posterior a la intrusión, aunque no identificaron públicamente al objetivo. Tras divulgarse las fallas también aumentaron exponencialmente los intentos de explotación, según Matthew Prince, director ejecutivo de Cloudflare.

PHP también está presente en herramientas de desarrollo y componentes de otros productos, por lo que actualizar servidores web no necesariamente resuelve todos los riesgos. Investigadores advierten que siguen expuestos sistemas sin parches y que algunos programas antiguos podrían carecer de una vía para actualizarse.

## La inteligencia artificial ayudó, pero no hizo el trabajo sola

Calif participó en la iniciativa Hack the Planet, impulsada por OpenAI y la empresa de seguridad informática Wiz. Según el equipo investigador, la inteligencia artificial ayudó a explorar la explotación de las fallas, mientras que el análisis dependió principalmente de los conocimientos previos de sus investigadores sobre PHP y sus antecedentes de seguridad.

La Fundación PHP y las empresas que mantienen sistemas basados en esa tecnología publicaron soluciones, pero los reportes de intrusiones muestran que la divulgación no eliminó el peligro. Los investigadores prevén que los equipos de informática pequeños y los sistemas antiguos podrían tardar más en instalar las actualizaciones.

---

**Fuente:** https://panorama.onl/tecnologia/php2shell-fallas-criticas-dejaron-expuestos-servidores-web-20261024-1309.html
Publicado por Panorama Online — contenido de libre lectura; se permite citar con atribución y enlace a la URL original.