PHP2Shell: qué es la vulnerabilidad crítica que amenaza sitios web y cómo proteger WordPress
Dos fallas críticas en PHP encendieron las alertas internacionales después de que investigadores identificaran riesgos de ejecución de código en servidores web. Las versiones corregidas ya están disponibles, por lo que administradores y empresas deben comprobar qué versión utilizan y si sus sistemas están protegidos.
Una alerta internacional de ciberseguridad puso bajo revisión a servidores que utilizan PHP, una tecnología fundamental para el funcionamiento de millones de páginas web. Las fallas identificadas pueden permitir que un atacante ejecute código de forma remota sin autenticarse, por lo que las autoridades europeas y los equipos de seguridad recomendaron instalar las correcciones o desconectar temporalmente los servicios que no pudieran protegerse a tiempo.
El equipo de desarrollo de PHP publicó el 21 de octubre de 2026 actualizaciones para corregir dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación de 9.2 sobre 10 en la escala CVSS 4.0, considerada crítica.
La alerta tiene implicaciones para empresas, instituciones públicas, tiendas digitales y medios de comunicación que dependen de esta tecnología. Sin embargo, que una página utilice PHP no significa automáticamente que haya sido atacada o que sus datos estén comprometidos.
¿Qué es PHP2Shell y cómo puede afectar a un servidor?
PHP es un lenguaje de programación utilizado para construir sitios web dinámicos y procesar información en los servidores. Está presente en sistemas como WordPress, Drupal y Joomla, además de numerosas aplicaciones empresariales.
La investigación de Wiz Research identificó fallas en el manejo de memoria del núcleo de PHP. En determinadas condiciones, errores durante el procesamiento de solicitudes pueden dejar referencias internas en un estado inconsistente y abrir la posibilidad de que un atacante manipule la memoria del proceso.
El riesgo va más allá de un complemento vulnerable. Los investigadores demostraron que las fallas podían explotarse en instalaciones de WordPress, Drupal y Joomla sin necesidad de iniciar sesión. También documentaron la posibilidad de extraer información sensible que permaneciera en la memoria de procesos PHP, como credenciales o claves de acceso.
Si la explotación tiene éxito, las consecuencias pueden incluir acceso no autorizado al servidor, modificación de archivos, exposición de datos o interrupción del servicio. El alcance real depende de la configuración, los permisos y las medidas de protección de cada infraestructura.
¿Por qué se habla de un riesgo para el 70% de internet?
La cifra difundida en torno a PHP2Shell proviene de la presencia de PHP en aproximadamente el 70% de los sitios web, según la investigación de Wiz. No es una medición de páginas infectadas ni una confirmación de que todos esos sitios sean vulnerables en las mismas condiciones.
La exposición depende de la versión instalada, la configuración del servidor y la aplicación de los parches. Aun así, la amplitud de uso de PHP explica por qué una falla en su núcleo puede afectar a organizaciones que utilizan plataformas diferentes.
El problema también alcanza a servicios que no anuncian públicamente qué tecnología emplean. Por eso, la identificación de los servidores vulnerables corresponde tanto a los administradores de los sitios como a los proveedores de alojamiento.
Países europeos desconectan servicios como medida preventiva
El 21 de octubre se reportaron interrupciones temporales de páginas gubernamentales, educativas, hospitalarias y de otras instituciones europeas mientras sus responsables evaluaban la vulnerabilidad e instalaban las actualizaciones.
En Países Bajos, distintas organizaciones retiraron de internet servicios públicos, portales institucionales y páginas de hospitales. Entre los sistemas afectados estuvo el portal del Puerto de Róterdam. En Finlandia, el centro estatal de tecnologías de información Valtori suspendió servicios web gubernamentales como precaución.
Francia también puso temporalmente fuera de servicio páginas administrativas de prefecturas mientras esperaba la corrección correspondiente. Alemania y Bélgica informaron de medidas similares en determinados servicios.
Estas desconexiones no deben interpretarse automáticamente como evidencia de que todos los sistemas afectados fueron infiltrados. En Finlandia, las autoridades señalaron que no habían identificado intentos de explotación en los servicios suspendidos cuando comunicaron la medida. En Bélgica, la autoridad nacional de ciberseguridad tampoco había registrado ataques contra páginas belgas en ese momento, pese a los reportes que motivaron la respuesta del Ministerio de Asuntos Exteriores.
La recomendación internacional fue aplicar los parches con rapidez y considerar la desconexión temporal de los servicios expuestos cuando no fuera posible corregirlos a tiempo. El objetivo era reducir la ventana en la que un atacante pudiera aprovechar la vulnerabilidad.
¿Qué papel desempeñó la inteligencia artificial?
Wiz Research explicó que utilizó herramientas de inteligencia artificial durante la identificación y el análisis de las fallas. La investigación contó con Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol, y se coordinó con el equipo de seguridad de PHP y OpenAI antes de la divulgación pública.
Los investigadores indicaron que los errores llevaban más de una década en el código y que convertirlos en una explotación funcional exigía combinar varias fallas, estudiar el comportamiento de la memoria y adaptar las pruebas a diferentes entornos.
La inteligencia artificial ayudó a reducir esa complejidad. Esto representa una oportunidad para los equipos defensivos, que pueden emplear herramientas similares para localizar errores y corregirlos, pero también aumenta la preocupación por la velocidad con la que otros actores podrían desarrollar métodos de explotación.
La publicación coordinada de las correcciones buscó dar tiempo a los administradores para actualizar sus sistemas antes de divulgar los detalles técnicos completos.
¿Qué versiones de PHP deben actualizarse?
El equipo de PHP publicó versiones corregidas para cuatro ramas de su software. Los administradores deben verificar qué versión utiliza cada sitio y aplicar la actualización correspondiente.
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Las versiones corregidas fueron anunciadas el 21 de octubre de 2026. El proyecto PHP advirtió que no existen medidas alternativas que sustituyan por completo la actualización y pidió instalar las correcciones de inmediato.
Las ramas antiguas también pueden estar afectadas. Si un servidor utiliza una versión sin soporte, su administrador debe consultar al proveedor para aplicar una solución mantenida o migrar a una rama compatible.
Cómo comprobar si un sitio WordPress está expuesto
Los administradores pueden consultar la versión de PHP desde el escritorio de WordPress, en Herramientas → Salud del sitio → Información → Servidor. También pueden verificarla desde el panel del proveedor de alojamiento.
Si el sitio utiliza Hostinger, su documentación indica que la versión puede revisarse y cambiarse desde el panel de administración, en la configuración de PHP. Antes de hacer cambios, conviene comprobar la compatibilidad de la aplicación y mantener un respaldo actualizado.
La comprobación no debe limitarse a la versión visible de WordPress. El núcleo del problema está en PHP, por lo que actualizar el CMS o sus complementos no sustituye el parche del intérprete.
Después de actualizar, las organizaciones deben revisar registros del servidor, accesos administrativos y modificaciones de archivos. Si encuentran indicios de intrusión, necesitan activar sus procedimientos de respuesta a incidentes, pues instalar una corrección no elimina automáticamente un acceso no autorizado que ya se hubiera producido.
¿Qué se sabe sobre una posible orden de Estados Unidos?
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones que utilizan PHP a prepararse para la actualización y señaló que los sistemas que no pudieran corregirse debían permanecer fuera de servicio hasta mitigar el riesgo. Esa recomendación no equivale a una orden universal de apagar todos los servidores del país.
En cuanto a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), no se identificó en las fuentes consultadas una instrucción general con ese alcance. Por ello, atribuirle una orden de desconexión inmediata para todos los servidores desactualizados sería impreciso.
Qué deben hacer las empresas y los medios digitales
La respuesta más importante es identificar los sistemas expuestos y aplicar las versiones corregidas. Los responsables de páginas corporativas, medios informativos y tiendas electrónicas deben coordinarse con su proveedor de hosting, verificar que la actualización se haya aplicado al entorno que procesa las solicitudes y comprobar si existen indicios de acceso indebido.
Si la actualización no puede realizarse de inmediato, deben evaluar las medidas de contención con el proveedor, incluida la restricción temporal del acceso público cuando el riesgo lo justifique. La recomendación de desconectar un servicio es preventiva y depende de su exposición y de la posibilidad de corregirlo.
Para los usuarios, la principal medida es mantenerse atentos a las comunicaciones oficiales de los servicios que utilizan. No hay evidencia en esta investigación que justifique afirmar que todas las cuentas bancarias, contraseñas o datos personales están comprometidos por PHP2Shell.
La alerta demuestra la importancia de mantener actualizado el software que sostiene los servicios digitales. La gravedad de la vulnerabilidad está documentada; el impacto sobre cada sitio debe establecerse mediante la revisión de su versión, configuración y registros de seguridad.
About The Author
