Dos fallas críticas de PHP, conocidas como PHP2Shell, pusieron en alerta a administradores de sitios web de todo el mundo. Los desarrolladores publicaron el 21 de octubre de 2026 actualizaciones para corregir la vulnerabilidad PHP, la cuál que puede permitir la ejecución remota de código sin iniciar sesión. Las correcciones ya están disponibles para PHP y cPanel, mientras Cloudflare reporta millones de intentos de explotación.
La alerta afecta a servidores que utilizan versiones vulnerables del lenguaje empleado por cerca del 70 % de los sitios web. Esa cifra describe su presencia en Internet, no la cantidad de páginas comprometidas. La recomendación inmediata es comprobar qué versión está instalada y aplicar los parches oficiales.
PHP2Shell: Cloudflare registra millones de intentos de ataque
Matthew Prince, cofundador y CEO de Cloudflare, informó en X que su compañía detectó miles de intentos de explotación durante las diez horas anteriores a la divulgación. Según su declaración, el volumen aumentó a decenas de miles en los siguientes 45 minutos, cientos de miles en dos horas y, posteriormente, millones.
Los registros reflejan intentos de ataque, no intrusiones exitosas. Amazon Web Services, por su parte, identificó actividad relacionada con PHP2Shell desde el 17 de octubre, cuatro días antes de la publicación de las correcciones. Esto amplía el período que deberían revisar los equipos de seguridad.
Parches de PHP y cPanel: qué versiones están corregidas
Según explica PHP, las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12 solucionan los problemas identificados como CVE-2026-109618 y CVE-2026-109619. Ambos recibieron una calificación crítica de 9,2 sobre 10 en CVSS 4.0.
cPanel también anunció actualizaciones el 21 de octubre: 138.0.18, 136.0.50 y 134.0.66 incorporan PHP interno corregido; 110.0.153 incluye parches adaptados. Para las aplicaciones alojadas, EasyApache 4 25.91 actualiza los paquetes de PHP afectados. Los servidores con ramas antiguas sin soporte oficial deben consultar si su proveedor ofrece correcciones adaptadas o planificar una migración.
La distinción es importante: actualizar cPanel no significa necesariamente que la vulnerabilidad PHP esté corregida en todos los sitios del servidor. También debe verificarse la versión que ejecuta cada dominio.
PHP vulnerabilidad: ¿mi sitio web está en riesgo?
Un sitio puede estar expuesto si utiliza una versión afectada, incluso cuando WordPress, sus temas y complementos están actualizados. El fallo se encuentra en el intérprete de PHP y puede afectar aplicaciones de comercio electrónico, plataformas corporativas y otros servicios.
Según advierte la Agencia de Seguridad Nacional de Estados Unidos (NSA), un atacante podría acceder al servidor sin autenticarse, extraer información o interrumpir servicios. Cloudflare implementó reglas de su firewall de aplicaciones web, incluso para su plan gratuito, pero señala que esa protección no reemplaza la actualización.
¿Qué sigue tras la vulnerabilidad PHP?
Tras la publicación de los parches, el siguiente paso es actualizar los servidores y comprobar que los sitios web utilicen versiones corregidas de PHP. Según advierte el equipo oficial de PHP, no existen medidas alternativas que eliminen completamente el riesgo. Por ello, los administradores deben verificar las actualizaciones con sus proveedores de hosting, especialmente si utilizan versiones antiguas del lenguaje.
Mientras tanto, las empresas de ciberseguridad continuarán vigilando los intentos de explotación de PHP2Shell. Cloudflare ya implementó protecciones adicionales mediante su firewall de aplicaciones web (WAF), aunque estas no sustituyen los parches. La prioridad ahora es prevenir nuevos ataques, revisar posibles accesos no autorizados y mantener los sistemas actualizados.
La inteligencia artificial fue clave en el hallazgo
La inteligencia artificial fue fundamental para identificar la gravedad de PHP2Shell. Según informó The Wall Street Journal, Ryan Austin, investigador de Calif, descubrió las vulnerabilidades en agosto de 2026 con ayuda de GPT-5.6 Sol, un modelo de OpenAI. La investigación permitió demostrar que un atacante podía ejecutar código malicioso en servidores PHP mediante solicitudes web, sin necesidad de autenticación.
La Fundación PHP explica que algunos errores de memoria se conocían desde 2024, pero hasta entonces no se había demostrado cómo explotarlos. Los hallazgos de Calif y Wiz confirmaron el riesgo de ejecución remota de código y facilitaron el desarrollo de parches, evidenciando el potencial de la inteligencia artificial para detectar amenazas de ciberseguridad.
Tecnoinver: un proveedor de confianza para proteger la continuidad de tu empresa
Para gerentes de TI y tomadores de decisiones, vulnerabilidades como PHP2Shell demuestran que contar con un proveedor tecnológico confiable es fundamental para proteger la información y garantizar la continuidad operacional. Ante esta alerta, el equipo técnico de Tecnoinver ya aplicó los parches de seguridad correspondientes en sus servidores y en la infraestructura que aloja las páginas web de sus clientes, reforzando su protección frente a posibles ataques.
La seguridad de tu empresa comienza con una infraestructura confiable. En Tecnoinver, trabajamos para anticiparnos a las amenazas, mantener nuestros sistemas actualizados y ofrecer soluciones de hosting e infraestructura que respalden la continuidad de tu negocio.
Qué es PHP y qué sigue para los administradores
PHP es un lenguaje que procesa contenido dinámico en servidores y permite funcionar a sistemas como WordPress. Esta vulnerabilidad PHP afecta el manejo de memoria y errores durante determinadas solicitudes web, por lo que no depende necesariamente de un defecto en la página.
La NSA aconseja inventariar servicios, revisar registros y sustituir versiones sin soporte. Una vulnerabilidad PHP sin corregir también obliga a evaluar medidas temporales de protección, especialmente cuando el servidor está expuesto a Internet.
AWS recomienda investigar actividad sospechosa desde el 17 de octubre. Ante esta vulnerabilidad PHP, los administradores deben coordinar con su proveedor de hosting la actualización, confirmar que quedó instalada y mantener las medidas de monitoreo.
La publicación del parche reduce el riesgo solo cuando se aplica. Hasta entonces, la vulnerabilidad PHP sigue exigiendo atención prioritaria.
Referencias
Amazon Web Services. (2026, 21 de octubre). Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot. https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
cPanel. (2026, 21 de octubre). Release notes. https://docs.cpanel.net/release-notes/release-notes/
Molteni, D., Jones, D., & Nandwani, K. (2026, 21 de octubre). Cloudflare deploys protections against php2shell vulnerability. Cloudflare. https://blog.cloudflare.com/php-vulnerabilities-waf-protection
National Security Agency. (2026, 21 de octubre). NSA advisory: Critical patches recommended for PHP vulnerabilities. https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
OpenAI. (2026, 21 de octubre). Patch the Planet: Global response coordination as agents uncover critical vulnerabilities. https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
PHP Development Team. (2026, 21 de octubre). Security advisory: Critical remote code execution vulnerabilities, update now. https://www.php.net/archive/2026.php#2026-10-21-5
Poireault, K. (2026, 22 de octubre). PHP2Shell exploitation attempt detected by Amazon four days before vulnerability disclosure. Infosecurity Magazine. https://www.infosecurity-magazine.com/news/php2shell-exploitation-attempt/
The PHP Foundation. (2026, 21 de octubre). Today’s PHP security release, and how we’re strengthening PHP security. https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
