PHP2Shell: fallos críticos en PHP hallados con IA y qué hacer ya

El ecosistema PHP sostiene aproximadamente el 70% de los sitios web del mundo, según Wiz Research. Por eso, cuando aparecen vulnerabilidades en su motor principal, el impacto va mucho más allá de una sola aplicación. La semana pasada se hicieron públicas dos vulnerabilidades críticas, bautizadas como PHP2Shell, que fueron descubiertas con la ayuda de modelos de IA de última generación. El fallo, que afecta a todas las versiones de PHP de la última década, permite a un atacante ejecutar código sin autenticación en gestores de contenido como WordPress, Drupal y Joomla. La noticia ha venido acompañada de una propuesta de OpenAI para gestionar la creciente marea de fallos que la IA está ayudando a encontrar.

Los detalles técnicos son complejos, pero conviene que cualquier pyme con presencia web los conozca. Las vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, obtienen una puntuación de 9,2 sobre 10 en la escala CVSS v4.0. El problema subyace en la gestión de errores de PHP: cuando una petición agota la memoria o falla, el motor puede dejar referencias a memoria ya liberada. Si el siguiente proceso reutiliza esas referencias, un atacante podría acceder a datos sensibles o ejecutar código malicioso. Estos errores de seguridad de memoria, como use-after-free y confusión de tipos, llevaban años sin detectarse porque explotarlos requería combinar varias debilidades de forma muy sutil.

La IA acelera el descubrimiento de fallos

Lo que antes habría requerido meses de trabajo de un equipo de expertos, ahora un solo investigador con modelos de vanguardia puede lograrlo en aproximadamente una semana. Wiz califica el hallazgo como un punto de inflexión en el uso de IA para la seguridad. Herramientas como GPT-5.6 Sol de OpenAI o Gemini 4 Argon de Google han permitido identificar estas vulnerabilidades latentes durante años. Raluca Ada Popa, responsable de Gemini Security en Google DeepMind, afirma que la IA de vanguardia es un cambio radical para la ciberdefensa. Sin embargo, la misma tecnología también puede ser utilizada por atacantes para encontrar puntos débiles primero.

La cronología del hallazgo y la coordinación para el parche también es relevante. Wiz encontró el primer fallo el 19 de agosto y confirmó la ejecución de código no autenticado contra Drupal al día siguiente. El 21 de agosto demostró lo mismo contra WordPress y el 24 de agosto reportó los fallos al equipo de seguridad de PHP. Este equipo reconoció los informes el 21 de septiembre y comenzó a construir una solución coordinada. Las versiones parcheadas llegaron el miércoles, el mismo día en que se hicieron públicos los detalles. Participaron en la coordinación Cloudflare, Google Cloud, AWS, Microsoft y Akamai, entre otros.

Qué significa para tu pyme

Si tu empresa tiene una web en WordPress, Drupal o Joomla, o utiliza PHP en cualquier aplicación interna, este fallo te afecta directamente. La buena noticia es que ya hay parches disponibles. La mala noticia es que los atacantes también están al tanto y han comenzado a modificar sus ataques para evadir las protecciones. Cloudflare, por ejemplo, comenzó a proteger a sus clientes por defecto unas nueve horas antes del anuncio público y observó tráfico de ataque dirigido a esos clientes. La compañía fue clara: los clientes deben parchear sus repositorios PHP. Las reglas de firewall pueden bloquear intentos de explotación, pero no eliminan la vulnerabilidad subyacente.

Por tanto, la recomendación principal es clara: actualiza PHP cuanto antes. Si no tienes un equipo técnico propio, contacta con tu proveedor de hosting o agencia de desarrollo para que apliquen los parches. No confíes solo en el cortafuegos de aplicaciones web (WAF) como solución única. Además, revisa si tu gestor de contenidos y plugins están actualizados. La vulnerabilidad afecta a todas las versiones de PHP de la última década, incluyendo código que se remonta a PHP 5.4, así que incluso sistemas aparentemente antiguos pueden ser vulnerables.

Este incidente también nos deja una lección sobre la importancia de la gestión de errores en el desarrollo seguro. La IA está democratizando el descubrimiento de fallos, y eso es bueno para la defensa, pero también aumenta la presión sobre las pymes para mantener sus sistemas al día. En ForgeNEX recomendamos establecer un proceso periódico de actualización y revisión de dependencias, así como formar a tu equipo en prácticas de seguridad básicas. Si necesitas ayuda para evaluar tu exposición, no dudes en contactarnos.

La propuesta de OpenAI de un marco de cinco etapas para gestionar vulnerabilidades críticas descubiertas por IA es un paso interesante, pero aún está en fase de discusión. Mientras tanto, la responsabilidad de proteger los sistemas recae en cada organización. No esperes a que sea demasiado tarde.

Fuente: The New Stack. Análisis y adaptación: ForgeNEX.