Una vulnerabilidad PHP, conocida como PHP2Shell, encendió las alertas de ciberseguridad. Se trata de dos fallas críticas que podrían permitir a un atacante ejecutar código en servidores sin iniciar sesión. Los desarrolladores del lenguaje ya publicaron actualizaciones para corregirlas.
El riesgo alcanza a sitios que utilizan versiones afectadas de PHP, incluidas páginas corporativas, tiendas en línea y plataformas basadas en WordPress. Sin embargo, que este lenguaje esté presente en cerca del 70 % de los sitios web no significa que todos hayan sido comprometidos.
¿Qué sitios web están en riesgos por vulnerabilidad de PHP?
Ronald Martínez, jefe del área de soporte de Tecnoinver, advierte que “Los sitios web que no tengan antivirus o sistemas de seguridad son los más vulnerables”.
El especialista agrega que “mientras los parches de la vulnerabilidad de PHP no están disponibles, proveedores como cPanel e Imunify otorgan capas de seguridad para mitigar los CVE”. Se trata de una protección adicional dentro del servidor para las cuentas alojadas en proveedores de hosting como Tecnoinver, aunque no sustituye las actualizaciones oficiales.
¿Cómo descubrieron la vulnerabilidad con inteligencia artificial?
Según reveló The Wall Street Journal, Ryan Austin, investigador de ciberseguridad de Calif, descubrió las vulnerabilidades de PHP en agosto de 2026 con ayuda de GPT-5.6 Sol, un modelo de inteligencia artificial de OpenAI. El hallazgo ocurrió durante una auditoría del código fuente de PHP, como parte de una iniciativa financiada por OpenAI para identificar fallas de seguridad en proyectos de código abierto.
La inteligencia artificial ayudó a demostrar que era posible ejecutar código malicioso en un servidor mediante unas pocas docenas de solicitudes. Según la investigación, el ataque podría completarse en segundos en sistemas pequeños y tardar horas en otros más complejos. Estas fallas llevaban décadas en el código, pero habían sido consideradas demasiado difíciles de explotar.
Dos fallas con identificadores CVE
La advertencia oficial identifica los problemas como CVE-2026-109618 y CVE-2026-109619. El primero involucra errores al gestionar situaciones de memoria insuficiente; el segundo, el uso posterior de información interna cuya memoria ya fue liberada.
Ambos pueden provocar ejecución remota de código sin autenticación. De acuerdo al equipo de PHP, las instalaciones que atienden solicitudes web requieren atención inmediata, especialmente las configuradas con el módulo mod_php.
¿Mi sitio web está en riesgo?
La alerta afecta a servicios construidos con gestores de contenidos como WordPress, Joomla y Drupal. La exposición real depende de la versión instalada, los parches aplicados y la configuración del servidor, no solo del nombre del CMS.
¿Cómo solucionar la vulnerabilidad?
El sitio oficial de PHP recomienda actualizar inmediatamente a alguna de las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según la rama utilizada. Quienes trabajan con versiones antiguas sin mantenimiento deben consultar por parches de su distribución o planificar una migración.
Antes de actualizar, conviene respaldar el sitio, comprobar la compatibilidad de sus componentes y verificar que la nueva versión esté funcionando. En cPanel, MultiPHP Manager permite revisar la versión asignada al dominio cuando el proveedor habilita esa función.
Referencias
cPanel. (2026, 8 de julio). MultiPHP Manager for cPanel. cPanel & WHM Documentation. https://docs.cpanel.net/cpanel/software/multiphp-manager-for-cpanel/
Deutsche Welle. (2026, 21 de octubre). Falla de PHP causa alarma internacional de ciberseguridad. https://www.dw.com/es/php-reconoce-falla-de-seguridad-y-publica-parche-para-evitar-ciberdelitos/a-79724651
Galov, N. (2026, 21 de octubre). PHP CVE-2026-109618 and CVE-2026-109619: Imunify360 ruleset 8.83 blocks the public exploit shape. Imunify360. https://blog.imunify360.com/php-cve-2026-109618-cve-2026-109619/
McMillan, R. (2026, 21 de octubre). AI just found a bug that puts up to 70% of the world’s websites at risk. The Wall Street Journal. https://www.wsj.com/tech/cybersecurity/ai-just-found-a-bug-that-puts-up-to-70-of-the-worlds-websites-at-risk-fd0902ea
PHP Development Team. (2026, 21 de octubre). Security advisory: Critical remote code execution vulnerabilities, update now. PHP. https://www.php.net/archive/2026.php#2026-10-21-5
Tzadik, S., Tamari, S., Ohfeld, N., & Schwartz, T. (2026, 21 de octubre). PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. Wiz. https://www.wiz.io/blog/php2shell-php-rce
