El ecosistema de la web se encuentra en estado de alerta tras el descubrimiento de dos vulnerabilidades críticas que afectan al lenguaje de programación PHP, uno de los pilares fundamentales para el funcionamiento de millones de sitios en todo el mundo. Estos fallos de seguridad, identificados bajo la denominación "PHP2Shell", han sido catalogados con una puntuación de 9.2 sobre 10 en la escala CVSS 4.0, lo que evidencia la extrema gravedad del riesgo al que están expuestos los servidores afectados.
La magnitud de estas vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, radica en que permiten que cualquier usuario no autenticado pueda realizar una ejecución de código remota. En términos prácticos, esto significa que un atacante podría hackear un sitio web por completo y tomar el control total del servidor. El riesgo es particularmente elevado en instalaciones que utilizan mod_php, donde se ha demostrado la existencia de un exploit que permite desencadenar el ataque mediante una solicitud no autenticada antes incluso de que se ejecute cualquier código de la aplicación.
El impacto técnico es extenso, ya que están afectadas todas las instalaciones de PHP que procesan solicitudes web. Esto incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Debido a la ubicuidad de PHP en la gestión de formularios, sesiones y consultas a bases de datos, el peligro no se limita a un plugin o sitio específico, sino que es sistémico. Un atacante exitoso podría acceder a información sensible de la cuenta del servicio, modificar archivos críticos, crear puertas traseras para accesos futuros o robar credenciales para saltar a otros sistemas de la red.
La respuesta global ante esta crisis ha sido inmediata y drástica. Ante la filtración de la existencia de estos fallos el pasado 20 de octubre, antes de que estuvieran disponibles los parches oficiales, numerosos administradores de sistemas optaron por apagar sus servidores o desconectarlos de Internet para evitar intrusiones. Esta medida de emergencia fue adoptada por centros gubernamentales de Finlandia y los Países Bajos, así como por instituciones académicas de prestigio, incluyendo la Universidad de Viena y la Universidad de Friburgo. Incluso plataformas populares como el foro 4chan se vieron obligadas a pasar a un modo de "solo lectura" para mitigar el riesgo.
El despliegue de las correcciones oficiales comenzó el 21 de octubre a las 14:00h UTC. Las versiones que solventan estos fallos son la PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Debido a la urgencia de la situación y la masiva demanda de descargas, la web oficial de PHP sufrió caídas temporales causadas por la saturación de su CDN. Para aquellos usuarios que compilan desde el código fuente o no tienen acceso a proveedores de versiones LTS, el equipo de seguridad de PHP proporcionó correcciones adaptadas (backports) mínimas para las versiones 7.4, 8.0 y 8.1.
Un punto crítico de esta crisis es la situación de los sistemas obsoletos. Se estima que existen aproximadamente 884.000 servidores expuestos a Internet que utilizan versiones de PHP 8.1 o anteriores. Dado que las ramas con soporte oficial comienzan a partir de la 8.2, existe una preocupación considerable sobre la seguridad de estos servidores antiguos, que previsiblemente no recibirán actualizaciones oficiales. Aunque los mantenedores de repositorios para Debian y Ubuntu han confirmado que publicarán paquetes actualizados para versiones soportadas, la brecha de seguridad en sistemas no mantenidos sigue siendo una amenaza latente, especialmente con la posible integración de herramientas de IA que podrían acelerar la ejecución de ataques en cuestión de segundos.
Como medida de mitigación temporal mientras se aplican los parches, algunos administradores han optado por desactivar el progreso de subida de ficheros de PHP y limitar la tasa de POSTs multipart/form-data. Por su parte, Cloudflare ha activado reglas de emergencia en su Web Application Firewall (WAF) para proteger a todos sus clientes, incluidos los usuarios del plan gratuito, aunque se ha enfatizado que esto es solo un remedio provisional y que la actualización del software es la única solución definitiva.
