PHP2Shell: cómo dos fallas críticas casi rompen internet, y por qué el riesgo no terminó

Los parches salieron el miércoles 21 y las grandes empresas habían tenido ventaja, pero hubo explotación antes de la divulgación; bancos, tiendas y hospitales sacaron servicios de línea y todavía quedan muchos sistemas sin actualizar. (Fuente: TechCrunch)

PHP, una tecnología web de código abierto con décadas de antigüedad, estuvo cerca de romper internet el miércoles 21 de octubre por dos vulnerabilidades que llevaban años dormidas, según un análisis de TechCrunch. Se las conoce como PHP2Shell y son las CVE-2026-109618 y CVE-2026-109619, que ya habíamos anticipado cuando el equipo de PHP avisó del lanzamiento de emergencia. Permiten que cualquiera que sepa explotarlas entre a un sistema que use PHP, como un sitio web o un servidor expuesto a internet, sin necesitar contraseña.

Qué pasó

• El hallazgo: los investigadores de Calif encontraron las fallas durante una auditoría del código de PHP. Según TechCrunch, ya se habían detectado en 2024, pero en ese momento no se las consideró explotables y no se corrigieron. Calif encontró una forma de explotarlas y avisó a la Fundación PHP, que preparó las correcciones bajo un embargo estricto para darles ventaja a las grandes empresas y proveedores de hosting.
• Los parches: la Fundación PHP los publicó el miércoles. Gracias a semanas de coordinación en la industria, el mundo evitó, por ahora, una explotación masiva. Bancos, comercios, sitios de juegos, tiendas online, hospitales y algunas agencias de gobierno sacaron sus servidores de línea para parchearlos, y los gobiernos pidieron a ciudadanos y empresas que actuaran.
• La escala: alrededor del 70 % de la parte de internet expuesta a la web depende de PHP, incluidos WordPress, Drupal, Joomla y MediaWiki, la plataforma de Wikipedia.

Explotación antes de la divulgación

Amazon dijo que detectó explotación de PHP2Shell alrededor de una semana antes de que los parches estuvieran disponibles, y que los defensores deberían buscar rastros desde el 17 de octubre. No está claro cómo el atacante supo de las fallas. Una posibilidad es una filtración durante el embargo; otra, que alguien las descubriera por su cuenta o por espionaje. La Fundación PHP responsabilizó a una empresa por publicar los parches unas horas antes de que terminara el embargo, aunque eso no explica la actividad de la semana anterior.

A fines del viernes 23 ya había compromisos confirmados y actividad posterior a la intrusión, según Palo Alto Networks y Trail of Bits. Matthew Prince, CEO de Cloudflare, dijo que vio un número exponencial de intentos de explotación tras la divulgación. Los investigadores señalan que convertir las fallas en un ataque exige mucho trabajo, lo que explica que todavía no haya explotación masiva.

El papel de la IA

Calif participaba en la iniciativa «Hack the Planet» de OpenAI y la firma de seguridad Wiz, que verificó sus pruebas de concepto. Según los investigadores, la IA ayudó en la explotación, pero el grueso del trabajo se apoyó en su conocimiento previo de PHP: ningún modelo es capaz, por ahora, de descubrir «todos los errores» con instrucciones simples.

Qué falta

• Más allá de los servidores web: PHP también está en herramientas de desarrollo, paquetes de línea de comandos y componentes de routers, equipos de almacenamiento y dispositivos de seguridad empresarial como firewalls y VPN, que habrá que actualizar.
• Los más lentos: equipos de TI chicos y desarrolladores independientes podrían tardar, y habrá un período hasta que las empresas que integran PHP actualicen sus propios productos. Los sistemas viejos que no pueden actualizarse seguirán expuestos durante años.
• Una lección de fondo: PHP, como otras tecnologías de hace décadas, no es «seguro en memoria», una clase de fallas que explica cerca del 75 % de las vulnerabilidades explotadas, según la NSA. Eso impulsa el paso a lenguajes seguros en memoria, como Python, Rust y Swift, pero deja una parte de internet corriendo software antiguo cuyas fallas, cuando aparecen, tienen un efecto enorme. TechCrunch anticipa que no será el último gran susto, con la IA haciendo más fácil encontrar fallas.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.