PHP2Shell: los fallos de PHP investigados con IA y qué hacer en tu web

Dos vulnerabilidades críticas de PHP, conocidas como PHP2Shell, han puesto el mantenimiento de las webs en primer plano. La investigación con ayuda de inteligencia artificial permitió demostrar su impacto. Para una empresa, la prioridad es confirmar con su proveedor que el servidor utiliza una versión corregida.

Información revisada el 23 de octubre de 2026. La existencia de estos fallos no demuestra que una web concreta haya sufrido una intrusión.

Qué ha ocurrido en PHP

PHP es una tecnología del servidor que utilizan muchas webs y aplicaciones. El 21 de octubre se publicaron correcciones para CVE-2026-109618 y CVE-2026-109619. En determinadas condiciones, permiten ejecutar código en el servidor sin iniciar sesión. El aviso oficial les atribuye una gravedad de 9,2 sobre 10. La exposición depende de la configuración y de las vías de ataque disponibles. Consultar el aviso de seguridad de PHP.

Qué papel ha tenido la inteligencia artificial

El titular «una brecha descubierta por la IA» necesita contexto. La PHP Foundation explica que en 2024 ya se habían detectado indicios del problema de agotamiento de memoria. Las investigaciones posteriores de Calif, OpenAI y Wiz demostraron su alcance y posibles vías de explotación. La IA ayudó en la investigación y validación; la revisión y las decisiones sobre los parches siguieron en manos de personas. Leer la explicación de la PHP Foundation.

Wiz documenta el uso de agentes y modelos para analizar los fallos, combinar sus efectos y adaptar pruebas a distintas aplicaciones. También señala el doble efecto: estas herramientas ayudan a los defensores, pero reducen el esfuerzo necesario para desarrollar ataques. Ver la investigación de Wiz sobre PHP2Shell.

¿Afecta a una web de WordPress?

Puede afectarle si el PHP del alojamiento es vulnerable. Wiz demostró ejecución remota de código en entornos de WordPress, Drupal y Joomla. El fallo está en PHP, una dependencia del servidor, por lo que actualizar WordPress, sus plugins o el tema no sustituye la actualización de PHP. Una web que funciona con normalidad también necesita esta comprobación.

Qué versiones incluyen la corrección

El equipo de PHP publicó estas versiones corregidas el 21 de octubre de 2026: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Debe instalarse la revisión de seguridad correspondiente a la rama utilizada, o una posterior que incorpore el arreglo. En distribuciones con parches propios, el proveedor debe confirmar el paquete corregido: el número de versión por sí solo puede ser insuficiente.

Para PHP 8.1 y anteriores, que ya no reciben mantenimiento ordinario del proyecto, conviene acordar la migración a una rama con soporte o verificar expresamente la cobertura del proveedor. Consultar versiones y opciones de actualización en PHP.

Qué debe hacer ahora una empresa

El NCSC recomienda localizar los sistemas con PHP, priorizar los expuestos a Internet y aplicar las actualizaciones. Si no es posible corregirlos o mitigarlos a tiempo, plantea aislarlos temporalmente. También aconseja buscar indicios de intrusión cuando haya existido exposición. Consultar las recomendaciones del NCSC.

1. Pedir confirmación al alojamiento. Preguntar qué versión o paquete de PHP ejecuta realmente la web y si incorpora la corrección de ambos CVE.
2. Coordinar el cambio. Preparar una copia de seguridad y comprobar la compatibilidad de la aplicación con la versión elegida.
3. Verificar el servicio. Tras actualizar, revisar acceso, formularios, tienda y conexiones utilizadas por la empresa.
4. Revisar posibles incidentes. Si hay señales sospechosas, solicitar un análisis técnico: actualizar no elimina por sí solo una intrusión previa.

Como consulta al proveedor puedes utilizar: «¿Podéis confirmar que el PHP que ejecuta nuestra web incorpora los parches de CVE-2026-109618 y CVE-2026-109619 e indicar la versión o paquete instalado?».

El mantenimiento también forma parte de tu web

Conocer quién mantiene el alojamiento, qué versiones utiliza y cómo se gestionan las actualizaciones facilita responder a avisos como este. Si necesitas comentar el mantenimiento de tu web corporativa o de tu tienda online, contacta con Ginsa para valorar tu caso.