Alerta mundial en Internet. Se han detectado dos vulnerabilidades críticas en PHP, el lenguaje de programación en el servidor que sustenta millones de páginas web, aplicaciones y plataformas como WordPress. Identificadas como CVE-2026-109618 y CVE-2026-109619, y conocidas como PHP2shell, se consideran uno de los fallos de seguridad más importantes de 2026 con una gravedad de 9,2 sobre 10.
Índice de temas
¿Por qué PHP2shell es tan grave?
Básicamente porque estos agujeros permiten la ejecución remota de código en ataques no autenticados, lo que en la práctica facilita a los cibercriminales tomar el control total de los servidores e instalar código malicioso antes de que las organizaciones apliquen los parches oficiales y sin necesidad de iniciar sesión en el sistema afectado ni contar con permisos previos.
PHP es una de las tecnologías base sobre las que funciona la gran mayoría de páginas web y servicios online del mundo
Además, dada la masiva presencia de PHP en el motor de Internet, estos fallos se propagan a gran velocidad en todo el mundo. Y es que, mientras el equipo de desarrollo de la plataforma prepara las actualizaciones correspondientes, cualquier servidor expuesto queda en un estado de vulnerabilidad crítica.
La magnitud del alcance es elevada porque, como señalan desde Pandora FMS, sólo WordPress, que funciona sobre PHP, da servicio al 42,6 % de todas las webs del mundo. Las estimaciones sitúan el número de dominios con WordPress entre 450 y 520 millones, a los que se suman millones de tiendas online construidas con otras plataformas PHP. No todos están activos ni todos son vulnerables, pero el volumen de sistemas accesibles públicamente desde Internet es enorme.
La NSA, el FBI y el INCIBE han emitido alertas críticas. En el portal del Instituto Nacional de Ciberseguridad se ha ido informado de los avances en los parcheos y medidas temporales.
Descubierta por la IA
La cuestión es que el código de producción estable que hasta ahora “simplemente funcionaba” se encuentra hoy en riesgo debido a la velocidad y al volumen de nuevas vulnerabilidades descubiertas mediante detección impulsada por Inteligencia Artificial. Una herramienta que también está al servicio de los cibercriminales para realizar sus ataques. Es por ello que se ha iniciado una carrera contrarreloj para corregirla antes de que otros sistemas de IA la aprovechen con fines delictivos.
¿Y ahora qué?
Ante esta situación, la respuesta de las organizaciones debe ser inmediata para minimizar la exposición y evitar comprometer infraestructuras esenciales. De hecho, ante el conocimiento de la noticia varios organismos públicos y empresas en Europa optaron por desconectar temporalmente sus servidores. De hecho, gobiernos como el de Países Bajos, Francia o Alemania han realizado ‘apagones’ en sus sitios oficiales con el objetivo de prevenir cualquier intrusión. No ha sido el único caso. Empresas del sector privado también han optado por «desenchufar» servidores para evitar males mayores.
Asimismo, los expertos aconsejan implementar parches validados y probados tan pronto como estén disponibles a través de fuentes confiables, incluso si esto supone aplicarlos fuera de las ventanas habituales de parcheo.
La cuestión es que el fallo está en el propio intérprete de PHP, concretamente en el procesamiento de las peticiones antes de que la aplicación entre en juego, argumentan desde Pandora FMS. Esto se traduce en que los plugins de seguridad o cortafuegos de aplicación no bastan. Sólo sirve actualizar PHP, porque las versiones 8.1 y anteriores no tendrán corrección oficial y han dejado de recibir soporte. Precisamente, Sancho Lerena, CEO de la tecnológica española, alega que la capacidad de respuesta depende de un trabajo previo que muchas organizaciones no han hecho: saber qué servidores ejecutan PHP, en qué versión, de dónde procede cada instalación y cuáles están expuestos a Internet. «No se puede proteger lo que no se sabe que se tiene. Webs olvidadas, entornos de pruebas, herramientas internas en un subdominio o software de terceros que lleva PHP dentro: ahí es donde entra el atacante», observa.
Recomendaciones de Pandora FMS
Inventariar. Identificar todos los sistemas que ejecutan PHP, incluido el que viene integrado en software de terceros, y su versión.
Priorizar. Parchear primero los sistemas expuestos a Internet: actualizar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o al paquete corregido del proveedor.
Verificar. Reiniciar los servicios para que carguen la nueva versión y comprobar que efectivamente la están usando.
Aislar lo que no se puede parchear. Las versiones fuera de soporte deben retirarse de Internet o protegerse hasta su migración.
Revisar. Buscar indicios de intrusión desde el 20 de octubre.
Supervisar de forma continua. Mantener un inventario actualizado y monitorizado para que la próxima vez la respuesta se mida en horas, no en semanas.
Síntomas de ataque
Pero si una web corporativa llega a ser comprometida mediante esta vulnerabilidad, ¿cuáles son los primeros síntomas que indican que el servidor ha sido infectado?
Según nos explica Gabriela Zornoza, experta en seguridad híbrida y Hybrid Mesh en Check Point Software, cuando un atacante explota con éxito esta vulnerabilidad crítica en PHP, el primer síntoma visible en la infraestructura podría ser la alteración de la propia aplicación web mediante la instalación de web shells, pequeños scripts maliciosos que el cibercriminal aloja en carpetas públicas o dentro de archivos modificados sin el consentimiento del equipo de desarrollo para mantener un acceso permanente al servidor.
«A nivel operativo y de red, el compromiso se manifiesta a través de un consumo anómalo e injustificado de recursos de CPU o memoria RAM debido a la ejecución de procesos no autorizados en segundo plano. Además, el análisis de los registros de la máquina muestra peticiones HTTP inusuales con comandos del sistema operativo y el cortafuegos detecta tráfico saliente sospechoso, confirmando que el servidor infectado está intentando comunicarse hacia el exterior con la infraestructura del atacante», concluye.
