PHP2Shell: la IA descubre un fallo que puso en alerta al 70 % de la web

Qué se encontró exactamente

PHP es un lenguaje de programación con el que están construidos cerca del 70 % de los sitios del mundo, incluidos los hechos con WordPress y con Drupal. Dentro de su código aparecieron dos vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, con una gravedad de 9,2 sobre 10 en la escala internacional CVSS 4.0.

Ambas nacen de errores en el manejo de la memoria y afectan, según los investigadores, a todas las versiones desde PHP 5 en adelante. Bien aprovechadas, permitirían ejecutar código en el servidor ajeno, tomar su control y leer datos de la memoria, entre ellos contraseñas. La firma watchTowr bautizó el conjunto como PHP2Shell, y medios como CNN y Cadena SER recogieron la alerta el mismo miércoles.

La PHP Foundation, la organización que mantiene el lenguaje, publicó el parche el miércoles a las 14:00 UTC y pidió actualizar de inmediato. La Agencia de Seguridad Nacional de Estados Unidos y la agencia europea de ciberseguridad recomendaron actuar sin esperar.

Gobiernos que apagan, bancos que pausan

La lista de sitios que se desconectaron un rato para parchear da la medida del susto: portales gubernamentales de Francia, Dinamarca, Finlandia y los Países Bajos, incluida la propia agencia neerlandesa de ciberseguridad; en Japón pausaron servicios la aerolínea ANA, el operador ferroviario JR West y MUFG, el banco más grande del país. La primera ministra japonesa pidió públicamente aplicar la corrección cuanto antes.

También la Fundación Wikimedia, la casa de Wikipedia, confirmó a CNN que estaba atendiendo las vulnerabilidades y que varios de sus sistemas se desconectaron por precaución. En Irlanda, el medio The Journal pasó parte de la mañana del jueves fuera de línea reforzando sus defensas. Y Cloudflare, que colaboró en la respuesta, detectó ya los primeros intentos de ataque contra sitios con PHP, según confirmó su director tecnológico.

La IA encontró el fallo… y demostró que se podía explotar

Los agujeros se descubrieron a finales de agosto, pero se mantuvieron en secreto hasta que existió el remedio. En la búsqueda participaron equipos de OpenAI, de Wiz —la empresa de seguridad de Google— y de otra firma del sector. OpenAI confirmó en la red X que sus modelos ayudaron a los investigadores y calificó el caso como una de las vulnerabilidades más importantes de los últimos tiempos, por la gravedad y por lo extendido que está PHP.

Wiz contó que su equipo trabajó con Gemini 4 Argon, con GPT-5.6 Sol y con su propia herramienta Atlas, y que un solo investigador hizo en una semana lo que antes pedía meses a un grupo de primer nivel. Su lectura tiene dos caras: la IA abarata encontrar fallos viejos, pero también convierte en ataque viable lo que durante años fue solo un defecto teórico, porque demostrar la explotación exigía una cadena de pasos casi inalcanzable a mano. Por eso lo comparan con Heartbleed, la gran falla de 2014.

La seguridad práctica, eso sí, empieza mucho más cerca: en el propio bolsillo. Lo contamos al hablar de las estafas con voces clonadas y al explicar cómo blindar las aplicaciones sensibles del celular con una clave adicional.

Qué significa para ti: si tienes una web o si solo navegas

Si administras un sitio, la tarea es una y es urgente: actualizar PHP a la versión corregida. WordPress recordó en su blog que esa actualización del servidor corresponde hacerla a cada propietario, no llega sola con las actualizaciones normales del gestor. El riesgo mayor lo corren las páginas pequeñas en servidores compartidos, cuyo dueño depende de que su proveedor actúe rápido: pregunta hoy a tu hosting si ya parcheó.

• Revisa qué versión de PHP corre tu sitio y cámbiala por la corregida cuanto antes.
• Actualiza también WordPress, Drupal y sus complementos, por si salen ajustes asociados.
• Si no puedes parchear hoy, valora poner el sitio en mantenimiento unas horas, como hicieron los grandes.
• Haz una copia de seguridad completa antes de tocar el servidor, por si algo se rompe al actualizar.

Si solo navegas, no hay nada que instalar ni que temer en tu celular: el problema vive en los servidores, no en los teléfonos. Lo que sí puedes notar estos días son páginas caídas a ratos o servicios en mantenimiento; es, paradójicamente, una buena señal. Y la prudencia de siempre con tu dinero en línea, la misma que recomendamos para moverte por la banca móvil sin sobresaltos, basta y sobra mientras dure la limpieza.