La semana pasada se dieron a conocer detalles sobre un par de vulnerabilidades críticas en PHP, un lenguaje de programación del lado del servidor ampliamente utilizado en el desarrollo web.

La noticia provocó la publicación de alertas de seguridad por parte de organismos gubernamentales y llevó a los administradores de sitios web a apresurarse a aplicar los parches disponibles, llegando incluso algunos servicios a desconectarse temporalmente como medida preventiva.

Esto se debe a que, en un servidor vulnerable, un atacante puede aprovechar estas fallas para ejecutar código de manera remota sin necesidad de autenticarse. Dado que se estima que aproximadamente tres de cada cuatro sitios web utilizan PHP de alguna forma, ya sea de manera directa o integrado en otros productos y servicios, su adopción masiva amplifica significativamente el impacto potencial de cualquier vulnerabilidad crítica.

Este artículo resume los principales conceptos abordados por Tony Anscombe, Chief Security Evangelist de ESET, en el video "PHP2Shell: What to know about two critical PHP flaws", disponible en inglés:

PHP2Shell: lo que hay que saber sobre dos fallas críticas en PHP

Como explica Tony Anscombe, Chief Security Evangelist de ESET, cuando una gran parte de Internet depende de una misma tecnología, cualquier vulnerabilidad grave puede convertirse rápidamente en un problema de alcance global. Eso es precisamente lo que ocurrió con PHP2Shell, nombre con el que se conoce a las vulnerabilidades  CVE-2026-109618 y CVE-2026-109619.

Se estima que alrededor del 75% de los sitios web dependen de PHP de alguna manera, ya sea directamente o a través de aplicaciones y plataformas que lo incorporan en su funcionamiento. Esta amplia adopción convierte a PHP en un componente fundamental de la infraestructura web, pero también en un objetivo especialmente atractivo para los ciberdelincuentes.

En el video, Tony Anscombe señala que las vulnerabilidades obtuvieron una puntuación de 9,2 sobre 10 en la escala CVSS debido a que permiten la ejecución remota de código (RCE), lo que podría dar a un atacante control sobre un servidor vulnerable sin necesidad de autenticarse.

Los fallos fueron descubiertos por investigadores que utilizaron un modelo avanzado de inteligencia artificial y posteriormente los reportaron de forma responsable a los responsables del Proyecto PHP. Sin embargo, la existencia de las vulnerabilidades se filtró poco antes de la publicación oficial de los parches, lo que abrió una ventana de oportunidad para que actores maliciosos comenzaran a identificar posibles objetivos.

De hecho, poco después de que se conocieran los detalles técnicos, se observó una intensa actividad de escaneo de servidores expuestos a Internet en busca de sistemas vulnerables. Aunque hasta el momento no se ha reportado una explotación masiva, los especialistas recomiendan actuar con rapidez y no asumir que la ausencia de actividad sospechosa significa que los sistemas no fueron atacados.

Según destaca Anscombe, estas fallas permanecieron ocultas durante más de una década y fueron identificadas por investigadores que emplearon modelos avanzados de inteligencia artificial para analizar código y detectar errores de gran complejidad.

La repercusión del hallazgo fue inmediata. Distintos organismos de ciberseguridad emitieron advertencias instando a las organizaciones a aplicar los parches cuanto antes o, si esto no fuera posible, desconectar temporalmente los sistemas afectados. Al mismo tiempo, numerosos equipos de TI trabajaron contrarreloj para actualizar sus entornos y minimizar la exposición al riesgo.

Qué deben hacer los administradores y equipos de TI

Los especialistas recomiendan tomar medidas sin demora:

  • Identificar todos los sistemas y aplicaciones que utilizan PHP, incluyendo aquellas soluciones de terceros que puedan incorporarlo de forma transparente.
  • Actualizar inmediatamente los servidores expuestos a Internet a las versiones corregidas.
  • Si se utilizan versiones legacy que ya no reciben soporte, implementar las medidas de mitigación recomendadas por los responsables del proyecto.
  • Desconectar temporalmente los sistemas afectados si no es posible aplicar los parches de forma inmediata.
  • Revisar registros, indicadores de compromiso y otros elementos de monitoreo para detectar posibles señales de actividad maliciosa.

Por último, los expertos recomiendan no asumir que la ausencia de evidencia es evidencia de ausencia. Dada la rapidez con la que comenzaron los intentos de identificar servidores vulnerables tras la divulgación de los fallos, resulta aconsejable verificar el estado de los sistemas incluso después de haber aplicado las actualizaciones.

Para conocer las medidas de mitigación detalladas y otra información, consulta los avisos publicados por el Proyecto PHP, la CISA, el CERT-EU o el NCSC.