La falla de seguridad que sacudió internet este mes — conocida como PHP2Shell — no fue solo otra vulnerabilidad crítica descubierta en software fundamental. Reveló algo inquietante: la inteligencia artificial está transformando el ciclo de descubrimiento y explotación de fallos de seguridad en algo radicalmente más rápido, y PHP2Shell se ha convertido en el caso canónico de este nuevo paradigma.
El 21 de octubre de 2026, el proyecto PHP publicó correcciones de emergencia para dos bugs de ejecución remota de código (RCE), cada uno clasificado con CVSS 9.2. Lo que hace singular este caso no es la gravedad de las fallas — que ya bastaría para sustentar artículos durante toda una semana — sino el hecho de que los tres grupos que las descubrieron (Calif, OpenAI y Wiz) usaron modelos de IA como parte integral del proceso. La IA no fue un accesorio: fue la herramienta que permitió transformar pistas fragmentadas identificadas en auditorías humanas previas en proofs-of-concept funcionales.
Cómo funciona PHP2Shell
Las dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, residen en el núcleo del motor de procesamiento de peticiones de PHP. Ambas explotan el mismo problema subyacente: cuando una petición termina de forma anómala, PHP puede dejar su estado de memoria en una condición corrupta que las peticiones subsiguientes pueden aprovechar.
CVE-2026-109618 es una falla de uso-después-liberación en heap durante el manejo de errores de out-of-memory. Cuando PHP encuentra un error de falta de memoria, usa `longjmp()` para salir del contexto actual y abortar el procesamiento. En algunos contextos, la memoria de la petición es temporalmente accesible antes de ser completamente inicializada. Si cualquier asignación falla en ese punto, PHP no contabiliza correctamente la salida anticipada y deja la memoria de la petición en estado inválido.
CVE-2026-109619 es aún más insidiosa. Aprovecha variables globales — como estado de error, sesión, objetos y extensiones — que son retenidas por el worker pero apuntan a memoria perteneciente a una petición. Si un producer deja estado propio de la petición atrás, y un consumer actúa sobre él en una petición posterior tratada por el mismo worker, un ataque de uso-después-liberación se materializa.
PHP validó ejecución remota de código completa contra Apache mod_php para ambas fallas. En el caso de CVE-2026-109619 específicamente, la ejecución fue validada contra mod_php en PHP 8.5 con la configuración `fatal_error_backtraces` habilitada, y tanto contra mod_php como contra PHP-FPM a través del recurso de progreso de subida de sesión, que está habilitado por defecto.
La historia que nadie vio: la auditoría de 2024
Lo que hizo a PHP2Shell particularmente perturbador fue lo que la PHP Foundation reveló en una declaración detallada el 22 de octubre: una de las vulnerabilidades (CVE-2026-109618) ya había sido identificada durante la primera auditoría externa de seguridad del PHP en varios años, realizada en 2024. El problema fue detectado, discutido, y luego... archivado.
"El equipo de seguridad del PHP, operando por consenso, luchó para elegir entre estas opciones y temió las repercusiones de enviar la elección incorrecta", explicó la fundación. "Combinado con la falta de un camino conocido para ejecución remota de código y el pequeño equipo de desarrolladores core con el conocimiento profundo necesario del motor, ocupado con muchas responsabilidades, ese proceso de decisión causó que el trabajo de corrección se estancara y reiniciara repetidamente durante meses."
Los ingenieros debatieron entre rupturas de compatibilidad con versiones anteriores, nuevo potencial de denegación de servicio, o la necesidad de cambiar muchas extensiones de terceros que parecían imposibles de coordinar. La decisión de no actuar se tomó en nombre de la estabilidad — y resultó ser uno de los errores más caros de la historia del software de código abierto.
La IA como amplificador
Los tres grupos que finalmente resolvieron el rompecabezas fueron Calif, OpenAI y Wiz. Calif fue el primero en identificar las vulnerabilidades y crear exploits a principios de agosto de 2026 — parcialmente usando herramientas de IA de vanguardia como parte del programa Patch the Planet de OpenAI, pero también con conocimiento humano especializado de PHP, sus dinámicas y debilidades. Investigadores de OpenAI y de Wiz (la filial de seguridad del Google) descubrieron independientemente fallas PHP2Shell usando herramientas de IA.
La diferencia crucial entre este descubrimiento y auditorías previas es la capacidad de la IA de rastrear cadenas complejas de dependencias a través de millones de líneas de código C — algo que agota a analistas humanos incluso cuando las pistas están frente a ellos. La IA no necesitaba "adivinar" el bug: necesitaba conectarlo.
Jake Williams, vicepresidente de investigación y desarrollo de Hunter Strategy y ex hacker de la NSA, observó que "definitivamente veremos más de estos bugs de larga vida que están en cada versión del software por la última década o lo que sea". Pero también señaló: "Para ser sincero, realmente no estoy preocupado. La gente ha estado buscando con IA por más de un año, y esto requirió un equipo altamente calificado para encontrarlo."
Por qué importa para internet
PHP ejecuta aproximadamente el 80% de toda internet — desde sitios pequeños hasta plataformas corporativas y gubernamentales. La CISA emitió una alerta de vulnerabilidad conocida con explotación activa, y cientos de sitios web fueron sacados de línea por organizaciones y gobiernos el 21 de octubre, incluyendo la autoridad holandesa de aguas Rijkswaterstaat.
Según estimaciones del VirusTotal, más de 5,1 millones de hosts PHP están expuestos en línea, con cerca de 3,8 millones teniendo al menos un puerto abierto. La Censys detectó más de 4 millones de hosts y 67 millones de propiedades web ejecutando PHP.
El aspecto más alarmante, sin embargo, es la cronología: según Amazon Web Services, los hackers comenzaron a explotar PHP2Shell el 17 de octubre — cuatro días antes de que las correcciones fueran publicadas. Los detalles de la vulnerabilidad se filtraron antes de la divulgación pública, y código proof-of-concept ya circulaba.
El futuro de los exploits asistidos por IA
PHP2Shell no es un evento aislado — es un síntoma de un cambio estructural. A medida que las herramientas de IA se vuelven más accesibles, el costo para transformar vulnerabilidades teóricas en exploits funcionales cae drásticamente. Esto beneficia tanto al lado defensivo como al ofensivo: los investigadores de seguridad pueden descubrir y corregir problemas más rápido, pero los criminosos pueden explotar la misma tecnología para encontrar y atacar fallas con menos experiencia.
La PHP Foundation anunció que está fortaleciendo sus procesos de seguridad — incluyendo auditorías regulares y un triage de seguridad mejorado. Pero la pregunta no es si existirán más bugs como este (siempre existirán), sino si el equipo de seguridad humano podrá responder más rápido de lo que la IA ofensiva los encuentra.
PHP2Shell muestra que, en 2026, el mayor riesgo de una vulnerabilidad crítica no es que exista — es que la IA descubra cómo explotarla antes de que alguien pueda arreglarla.
Fuentes: WIRED, The Record (Recorded Future), BleepingComputer
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
