Dos fallas de seguridad críticas en PHP, el lenguaje de programación que utilizan millones de sitios web, podrían permitir que un atacante ejecute código en un servidor sin necesidad de identificarse. El Proyecto PHP publicó actualizaciones de emergencia para corregirlas, pero el problema tiene un alcance enorme y los administradores deben actuar cuanto antes.
Las vulnerabilidades, bautizadas como PHP2Shell, están registradas con los códigos CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de 9,2 sobre 10 en gravedad. Según la empresa de ciberseguridad watchTowr, los errores existen desde PHP 5, por lo que afectan a prácticamente todas las versiones que todavía circulan.
Las estimaciones sobre su alcance varían. Un investigador calcula que más de 1,3 millones de servidores conectados a Internet son vulnerables. Wordfence, especializada en seguridad para WordPress, advierte que todos los sitios que utilizan esta plataforma están expuestos. WordPress alimenta más del 40 % de las páginas web, mientras que investigadores de Wiz calculan que PHP está presente en aproximadamente el 70 % de los sitios del mundo.
El problema es que los administradores no pueden confiar en las actualizaciones automáticas. Deben identificar quién gestiona PHP en sus servidores e instalar manualmente las versiones corregidas, que incluyen las ediciones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
La IA
Lo llamativo es que la inteligencia artificial ayudó a descubrir estas vulnerabilidades. La empresa Calif utilizó GPT-5.6 Sol, un modelo de OpenAI especializado en seguridad. Por su parte, Wiz encontró una de las fallas de manera independiente mediante su herramienta Wiz Atlas, Gemini 4 Argon de Google y el mismo modelo de OpenAI. Ambos descubrimientos dieron paso a dos meses de trabajo coordinado para preparar las correcciones.
Los errores afectan la forma en que PHP gestiona la memoria al procesar información sobre cargas de archivos y reportes de fallos. Al combinar ambas vulnerabilidades, los investigadores consiguieron ejecutar código remotamente en servidores que utilizan WordPress, Drupal y Joomla.
La divulgación tuvo problemas. Los detalles técnicos se filtraron un día antes del anuncio oficial y ya circulan códigos que permiten reproducir los ataques, aunque algunos podrían contener programas maliciosos. Cloudflare confirmó que detectaba intentos de explotación y ajustó sus reglas de protección.
Reacciones
Ante el riesgo, organismos de ciberseguridad de Reino Unido y la Unión Europea recomendaron desconectar temporalmente de Internet los servidores que no puedan actualizarse. Algunos servicios, como el foro de GrapheneOS, también suspendieron sus operaciones preventivamente.
La advertencia es clara. Encontrar estas fallas con inteligencia artificial demuestra su potencial para mejorar la ciberseguridad. Pero también deja una pregunta incómoda sobre cuántas otras vulnerabilidades podrían descubrir primero los atacantes.
