• Dos vulnerabilidades críticas de PHP, agrupadas como PHP2Shell, se hicieron públicas esta semana y provocaron millones de intentos de explotación en pocas horas, aunque no se habían confirmado ataques exitosos.
  • Identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una gravedad de 9,2 sobre 10. Bajo ciertas condiciones, permitirían ejecutar instrucciones a distancia y tomar el control de un servidor sin iniciar sesión.
  • Cloudflare contabilizó los intentos; la Fundación PHP dijo que no había observado explotaciones exitosas y que muchos de los exploits difundidos públicamente parecían ineficaces.

¿Qué medidas se tomaron?

  • Los desarrolladores de PHP publicaron actualizaciones de emergencia el 21 de octubre, mientras administradores y equipos de seguridad se apresuraban a instalar los parches y organismos de seguridad emitían advertencias.
  • PHP se utiliza en plataformas como WordPress, Drupal y Joomla. W3Techs calculó que, al 24 de octubre, estaba presente en el 69,3% de los sitios cuyo lenguaje de servidor podía identificarse.

¿Cómo se detectaron las vulnerabilidades?

  • Calif fue la primera en identificar los fallos y desarrollar exploits, a comienzos de agosto, dentro de la iniciativa Patch the Planet de OpenAI. Sus investigadores combinaron herramientas de inteligencia artificial con conocimiento especializado sobre PHP.
  • OpenAI y Wiz también los detectaron de forma independiente. Wiz combinó su herramienta Atlas con Gemini 4 Argon y GPT-5.6 Sol, y atribuyó un papel clave al modelo de Google; algunos problemas llevaban años en el código y ya se habían identificado en 2024, pero se consideraban demasiado complejos para ser explotados por una persona.