Falla crítica en PHP pone en alerta a internet en todo el mundo

Internet enfrenta una importante alerta de ciberseguridad tras el descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios web y aplicaciones empresariales.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, han sido agrupadas bajo el nombre PHP2Shell. Ambas permiten, bajo determinadas condiciones, ejecutar código de manera remota en servidores vulnerables sin que el atacante necesite autenticarse previamente. La gravedad de las vulnerabilidades fue calificada con una puntuación de 9,2 sobre 10 en CVSS 4.0.

El problema adquirió rápidamente una dimensión global. Poco después de que las vulnerabilidades fueran divulgadas, proveedores de infraestructura y empresas de ciberseguridad comenzaron a registrar una intensa actividad maliciosa. Cloudflare reportó millones de intentos de explotación en pocas horas, mientras organizaciones públicas y privadas aceleraban la instalación de actualizaciones de emergencia.

PHP es una tecnología fundamental para una gran parte de internet. Debido a su amplia adopción, una vulnerabilidad en el núcleo del lenguaje puede tener repercusiones sobre una enorme cantidad de sitios, plataformas y sistemas empresariales.

Según la alerta oficial de PHP, el riesgo afecta a instalaciones que procesan solicitudes web, entre ellas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de PHP considera especialmente elevado el riesgo en configuraciones con mod_php, donde se demostró que una solicitud no autenticada podía activar el ataque incluso antes de que se ejecutara el código de la aplicación.

¿Qué podría hacer un atacante?

Una vulnerabilidad de ejecución remota de código, conocida como RCE, puede permitir que una persona externa ejecute instrucciones directamente sobre un servidor vulnerable.

Dependiendo de la configuración y los permisos del sistema, esto podría facilitar acciones como el acceso a información, la modificación de contenidos, la instalación de código malicioso o la interrupción de determinados servicios. Por esta razón, organismos de ciberseguridad como el National Cyber Security Centre del Reino Unido emitieron alertas recomendando aplicar las actualizaciones disponibles cuanto antes.

La situación no quedó limitada únicamente a una vulnerabilidad teórica. Tras hacerse públicos los detalles, comenzaron a registrarse intentos masivos de explotación y varias organizaciones optaron por desconectar temporalmente algunos servicios mientras verificaban sus sistemas y aplicaban los parches correspondientes.

PHP publica actualizaciones de emergencia

El 21 de octubre de 2026, el equipo de PHP publicó nuevas versiones destinadas específicamente a corregir estas dos vulnerabilidades:

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35

PHP ha sido contundente en su recomendación: todos los usuarios deben actualizar inmediatamente. El equipo responsable indica además que no existen mitigaciones completas, por lo que instalar una versión corregida es la única opción considerada segura.

También se incluyeron las correcciones en las versiones de prueba de PHP 8.6. Quienes estén utilizando compilaciones anteriores de esta rama deben actualizar, aunque PHP 8.6 todavía no está recomendado para entornos de producción.

Una alerta global para empresas y gobiernos

La magnitud del incidente llevó a organizaciones y administraciones públicas de distintos países a tomar medidas preventivas. Algunos servicios fueron desconectados temporalmente mientras los equipos técnicos verificaban versiones, revisaban registros y aplicaban actualizaciones de seguridad.

Este incidente demuestra la importancia de mantener actualizados no solo los sitios web, sino también los lenguajes, servidores, frameworks y componentes que sostienen una infraestructura digital.

Una empresa puede contar con firewalls, antivirus y sistemas de monitoreo avanzados, pero continuar expuesta si alguno de los componentes fundamentales de su plataforma utiliza una versión vulnerable.

¿Qué deben hacer las empresas?

Las organizaciones que utilizan PHP deberían identificar inmediatamente qué versión está instalada en sus servidores y comprobar si se encuentra dentro de las versiones corregidas.

La recomendación principal es actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama utilizada, o a una versión posterior que ya incluya las correcciones de seguridad.

También es recomendable revisar registros de actividad, detectar solicitudes sospechosas y verificar que no existan señales de explotación previa. En infraestructuras empresariales críticas, este tipo de incidentes refuerza la importancia de contar con procesos de gestión de vulnerabilidades y monitoreo permanente.

La falla PHP2Shell vuelve a demostrar que la ciberseguridad no depende únicamente de reaccionar cuando ocurre un ataque. Mantener los sistemas actualizados, detectar vulnerabilidades a tiempo y contar con procedimientos de respuesta puede ser la diferencia entre una actualización preventiva y un incidente de seguridad de gran escala.