Bajo ataque inminente: la vulnerabilidad 'php2shell' que amenaza dos tercios de la web
En la mañana del 21 de octubre de 2026, administradores de servidores por toda la internet recibieron una alerta inusual: el equipo de seguridad de PHP había anunciado el 20 de octubre que liberaría una actualización de emergencia al día siguiente, a las 14:00 UTC (10:00 de la mañana en el este de EE.UU., 16:00 en Brasilia), para corregir dos fallas críticas de ejecución remota de código (RCE) en el núcleo del intérprete. El nombre que los investigadores le dieron a la cadena de explotación — php2shell — resume, sin exagerar, lo que está en juego: si se explota con éxito, la vulnerabilidad permite que un atacante sin autenticación asuma el control total del servidor que aloja la aplicación.
Qué se sabe — y qué aún está en suspenso
Las dos fallas han sido identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas reciben puntuación CVSS v4.0 de 9.2 — la clasificación oficial de "crítico" — según confirmó el propio equipo de seguridad de PHP en su anuncio en php.net. Informes no oficiales, sin embargo, citan un puntaje de 10.0, lo que, si se confirma, colocaría la vulnerabilidad en el nivel máximo de gravedad.
La investigación de Tenable identificó que el equipo de seguridad de PHP emitió un aviso anticipado inusual, dejando claro que podría liberar los parches aún más temprano si los detalles técnicos se filtraban o si se observaba explotación activa en la naturaleza. Hasta el momento, no se ha reportado explotación confirmada, pero la empresa Cloudflare, cuya CTO Dane Knecht monitoreó el caso en redes sociales, indicó que ya observaba señales de ataques emergentes.
Según Benjamin Harris, CEO de la empresa de seguridad israelí watchTowr, que confirmó la existencia de las vulnerabilidades, afectan las ramas PHP 5, 6, 7 y 8. watchTowr afirmó haber reproducido la CVE-2026-109618 en ambiente controlado, pero optó por retener los detalles técnicos hasta la liberación de los parches.
Las versiones corregidas esperadas son:
| Versión afectada | Versión corregida esperada | |---|---| | PHP 8.5.x | 8.5.12 | | PHP 8.4.x | 8.4.27 | | PHP 8.3.x | 8.3.36 | | PHP 8.2.x | 8.2.35 | | PHP 5.x a 8.1.x | Sin corrección esperada (EOL) |
La restricción de corrección solo a las ramas soportadas (8.2+) es la parte más preocupante. Según datos del W3Techs, el PHP es utilizado por 69,3% de los sitios cuyo lado del servidor es conocido. Plataformas como WordPress, Drupal, Joomla, Laravel y Magento dependen del PHP. El investigador Silas Cutler estima que más de 1,3 millones de hosts expuestos a internet están potencialmente vulnerables.
Por qué el vazamiento anticipado es un problema
Lo que distingue esta situación de una actualización de seguridad rutinaria es el vazamiento de la información de CVE antes de la divulgación coordinada. Según watchTowr, la divulgación estaba originalmente programada para el 22 de octubre, bajo embargo. Sin embargo, los identificadores CVE y los detalles de la vulnerabilidad circularon por el foro Hacker News y por redes sociales ya el día 20, forzando al equipo de PHP a adelantar la liberación.
Este patrón de "vazamiento antes de la corrección" es cada vez más común en vulnerabilidades críticas. Una vez que los identificadores de CVE están disponibles, la comunidad de investigadores de seguridad — y, desafortunadamente, también los agentes maliciosos — puede comenzar a trabajar en exploits. PHP ya había enfrentado situaciones similares, como la famosa vulnerabilidad Log4Shell (aunque esta era de Java) y el CVE-2024-4577, que permitía fuga de memoria en variables de ambiente.
La vulnerabilidad Session Upload Progress
Uno de los detalles más relevantes hasta el momento es la mención del investigador Kirill Firsov, ligado al descubrimiento de las fallas, que bautizó la cadena de explotación como "php2shell". La recomendación temporaria, compartida tanto por Firsov como por la empresa japonesa GMO Flatt Security, es desactivar la función Session Upload Progress del PHP, que ha sido señalada como la puerta de entrada para la explotación.
La directiva `session.upload_progress.enabled` en el archivo `php.ini` puede ser definida como `Off` para mitigar temporalmente la vulnerabilidad. Sin embargo, esto desactiva las barras de progreso de carga basadas en esta funcionalidad — un trade-off que los administradores de servidores necesitan equilibrar entre seguridad y experiencia del usuario.
Mozilla ya había estudiado el problema del Session Upload Progress en contextos anteriores de seguridad, cuando descubrió que la funcionalidad podía ser manipulada para crear condiciones de competencia que permitían acceso a recursos sensibles. La experiencia acumulada de la comunidad de seguridad sugiere que esta característica de PHP tiene un historial problemático.
Qué esperar en las próximas horas
La ventana de exposición es estrecha. El equipo de PHP ya alertó que puede publicar los parches más temprano si se observa explotación en la naturaleza. Los administradores de sistemas son instados a realizar un inventario inmediato de todos los servidores ejecutando PHP y a preparar el proceso de actualización.
La situación más delicada concierne a los hosts que corren versiones EOL (fin de vida) de PHP — especialmente PHP 5 y PHP 7, que no recibirán correcciones oficiales. Cerca de 700.000 hosts expuestos a internet corren estas versiones desactualizadas, según Phoenix Security. Para estos servidores, la única opción es migración o aislamiento hasta que la versión sea actualizada.
La pregunta que queda no es si los exploits aparecerán — es cuándo. Lo que se espera en las próximas horas es que el equipo de PHP libere los parches, que inmediatamente serán objetivo de ingeniería inversa por investigadores y, potencialmente, por actores maliciosos. La comunidad de seguridad global está en estado de alerta.
Fuentes: Phoenix Security, Tenable, IT-Connect
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
