PHP2Shell: lo que hay que saber sobre dos fallas críticas en PHP

Re­cien­te­men­te se re­ve­la­ron dos fa­llas de se­gu­ri­dad crí­ti­cas en PHP, un len­gua­je de pro­gra­ma­ción muy po­pu­lar para el de­sa­rro­llo web, lo que mo­ti­vó la emi­sión de aler­tas gu­ber­na­men­ta­les, la apli­ca­ción ur­gen­te de par­ches y la des­co­ne­xión tem­po­ral de al­gu­nos ser­vi­cios. Estas vul­ne­ra­bi­li­da­des, iden­ti­fi­ca­das como CVE-2026-109618 y CVE-2026-109619, re­ci­bie­ron una ca­li­fi­ca­ción de gra­ve­dad de 9,2 sobre 10 en la es­ca­la CVSS. El im­pac­to po­ten­cial es ma­si­vo de­bi­do a que apro­xi­ma­da­men­te tres de cada cua­tro si­tios web de­pen­den de esta tec­no­lo­gía, ya sea de forma di­rec­ta o me­dian­te otros pro­duc­tos y ser­vi­cios.

Los fa­llos per­mi­ten la eje­cu­ción re­mo­ta de có­di­go sin re­que­rir au­ten­ti­ca­ción en un ser­vi­dor vul­ne­ra­ble, lo que otor­ga el con­trol a un ata­can­te. Estas de­bi­li­da­des es­tu­vie­ron ocul­tas por más de diez años y fue­ron ha­lla­das por in­ves­ti­ga­do­res que uti­li­za­ron in­te­li­gen­cia ar­ti­fi­cial avan­za­da para ana­li­zar có­di­go y ha­llar erro­res com­ple­jos, los cua­les fue­ron re­por­ta­dos al Pro­yec­to PHP. No obs­tan­te, la in­for­ma­ción se fil­tró antes de que se pu­bli­ca­ran los par­ches ofi­cia­les, lo que ge­ne­ró una ven­ta­na para que ac­to­res ma­lin­ten­cio­na­dos es­ca­nea­ran in­ter­net en busca de ob­je­ti­vos ex­pues­tos, pro­vo­can­do una res­pues­ta in­me­dia­ta de los equi­pos de tec­no­lo­gía para ac­tua­li­zar o ais­lar los sis­te­mas.

Ante este pa­no­ra­ma, los es­pe­cia­lis­tas acon­se­jan a los ad­mi­nis­tra­do­res lo­ca­li­zar todas las apli­ca­cio­nes y sis­te­mas que usen PHP, apli­car las ac­tua­li­za­cio­nes de in­me­dia­to en los ser­vi­do­res co­nec­ta­dos a in­ter­net y uti­li­zar las mi­ti­ga­cio­nes su­ge­ri­das en el caso de ver­sio­nes sin so­por­te. Tam­bién se su­gie­re apa­gar de forma tem­po­ral los equi­pos afec­ta­dos si no se puede par­char al ins­tan­te, ana­li­zar bi­tá­co­ras en bús­que­da de ras­tros ma­li­cio­sos y no dar por sen­ta­do que los sis­te­mas no su­frie­ron ata­ques por el hecho de no ha­llar se­ña­les evi­den­tes. Para co­no­cer de­ta­lles es­pe­cí­fi­cos de mi­ti­ga­ción, se re­co­mien­da re­vi­sar los co­mu­ni­ca­dos ofi­cia­les de en­ti­da­des como la CISA, el CERT-EU, el NCSC o el pro­pio Pro­yec­to PHP.