Qué ocurrió

El 21 de octubre, el equipo de seguridad de PHP publicó un boletín sobre dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación. También pidió a todos los usuarios que actualicen de inmediato1. Están en riesgo todas las instalaciones de PHP que atienden peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Según el equipo de PHP, el riesgo más alto corresponde a mod_php. Allí se ha demostrado un exploit en el que una petición sin autenticación lanza el ataque incluso antes de que se ejecute el código de la aplicación1.

Ambos fallos están en el propio intérprete. Por eso afectan a sitios con WordPress, Drupal, Laravel y cualquier otro motor basado en PHP. Según Wiz, alrededor del 70 % de los sitios web del mundo funcionan con PHP2.

Mecanismo: dos errores en la gestión de memoria

  • CVE-2026-109618, «RCE mediante corrupción por OOM». La gestión de la falta de memoria puede interrumpir PHP cuando los datos internos de la petición solo se han inicializado en parte. Después, la limpieza de la petición trata esos datos corruptos como si fueran válidos1.
  • CVE-2026-109619, «RCE mediante estado global obsoleto». El estado interno de la petición sigue existiendo después de liberarse la memoria a la que apunta. La siguiente petición que llega al mismo worker puede usar ese estado antes de la inicialización normal1.

BleepingComputer señala que ambos fallos tienen una causa común: PHP puede dejar la memoria corrupta cuando una petición termina de forma anómala4. Según The Hacker News, el código vulnerable existía desde hace más de diez años y afecta a versiones hasta PHP 5.45.

El papel de la IA

Investigadores de Calif y Wiz encontraron las vulnerabilidades con herramientas de IA que analizan código más rápido que las personas y que los sistemas anteriores. El investigador de Calif Ryan Austin calificó el hallazgo como la vulnerabilidad más grave de su carrera. OpenAI, cuya tecnología se utilizó, lo describió como uno de los problemas de seguridad más importantes de los últimos tiempos2. Según Wiz, la cadena de explotación estaba «al límite de lo que los investigadores humanos pueden lograr en la práctica»6. La otra cara: OpenAI reconoce que la IA también ayuda a los atacantes a crear exploits más rápido2.

Filtración, ataques y reacción de las autoridades

Los detalles se filtraron en internet antes de la fecha prevista, y PHP tuvo que adelantar la publicación2. Cloudflare activó reglas WAF de protección para todos sus planes, incluido el gratuito, unas nueve horas antes de la divulgación. La empresa observa que los atacantes modifican sus cargas maliciosas para eludir esas reglas3. El director ejecutivo de Cloudflare, Matthew Prince, informó de miles de intentos de explotación antes del anuncio y de millones después. Amazon afirmó haber detectado intentos de ataque varios días antes de la divulgación pública2. watchTowr registra intentos de explotación, pero cuando se publicaron los informes no había compromisos exitosos confirmados6.

La NSA de Estados Unidos pidió desconectar los sistemas que no puedan actualizarse de inmediato. El NCSC británico pidió revisar los servidores en busca de puertas traseras. Como precaución, Wikimedia, el Gobierno de Finlandia y la agencia neerlandesa de ciberseguridad desconectaron parte de sus sistemas2.

Qué hacer ahora mismo

  1. Actualice PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35. El proyecto ya no da soporte a PHP 8.1 ni a versiones anteriores. Para 7.4, 8.0 y 8.1 se han publicado backports mínimos en código fuente, y las distribuciones recibieron los parches con antelación1.
  2. Si su sitio lo gestiona un proveedor de hosting o un contratista, pregunte si se han instalado los parches de PHP. Actualizar WordPress y los plugins no resuelve el problema23.
  3. Si no puede actualizar de inmediato, aplique las medidas temporales del boletín: memory_limit=-1 sin posibilidad de sobrescribirlo, un post_max_size bajo y session.upload_progress.enabled=0, y reinicie los workers. Estas medidas reducen el riesgo, pero no hacen segura la instalación1. El NCSC y la NSA recomiendan desconectar el sitio temporalmente2.
  4. Busque indicios de compromiso y no desactive el WAF mientras actualiza23.
  5. Tenga cuidado con el phishing que aprovechará esta noticia tan sonada. Si recibe correos como «actualice su sitio urgentemente», «su hosting ha sido hackeado» o peticiones para cambiar la contraseña, compruébelos a través de los canales oficiales del servicio2.

Limitaciones

La situación sigue cambiando. Los datos sobre explotación proceden de la telemetría de empresas concretas. En el momento de la publicación no se habían comunicado compromisos confirmados. Además, se desconoce el número exacto de servidores vulnerables: el 70 % se refiere a la difusión de PHP, no a una vulnerabilidad medida6.

  1. [1] Security advisory: Critical remote code execution vulnerabilities, update nowPHP Group
  2. [2] What is PHP and why did it spark a global cyber-security scramble?BBC News
  3. [3] Cloudflare deploys protections against php2shell vulnerabilityCloudflare
  4. [4] PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
  5. [5] PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts EmergeThe Hacker News
  6. [6] PHP2Shell Patches Land as First Exploitation Attempts Hit SensorsSecurityWeek