RespuestasPublicado19 fuentes
PHP2Shell: por qué dos fallos de PHP provocaron una carrera mundial por aplicar parches
PHP2Shell es el nombre de dos fallos críticos de PHP que podían permitir la ejecución remota de código sin autenticación. Se calcula que PHP se utiliza en cerca del 70 % de los sitios web, pero esa cifra no indica cuántos eran vulnerables o fueron comprometidos.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell es el nombre de dos fallos críticos de PHP que podían permitir la ejecución remota de código sin autenticación.
- Se calcula que PHP se utiliza en cerca del 70 % de los sitios web, pero esa cifra no indica cuántos eran vulnerables o fueron comprometidos.
- «Black October» describe un conjunto de alertas e incidentes de seguridad; no prueba que hubiera un único ciberataque coordinado.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the AI-discovered PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) trigger the October 2026 global cybersecurity cris. Article summary: PHP2Shell prompted a global emergency because potentially severe server-side flaws affected a widely used web technology, and their disclosure forced operators to patch or interrupt services quickly. The evidence support. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
PHP2Shell —nombre que agrupa las vulnerabilidades CVE-2026-109618 y CVE-2026-109619— convirtió una alerta de seguridad en una carrera por instalar actualizaciones durante octubre de 2026. PHP está presente, según los reportes, en alrededor del 70 % de los sitios web, por lo que los fallos despertaron preocupación por su posible alcance. Pero ese porcentaje no equivale a una lista de sitios vulnerables, y los intentos de ataque reportados no indican cuántos sistemas, si es que alguno, fueron vulnerados con éxito. 49
22
Qué podían hacer los fallos de PHP2Shell
Las vulnerabilidades afectan al propio PHP, no a un sitio web o sistema de gestión de contenidos en particular. La Agencia de Ciberseguridad de Singapur describió una como un fallo en el manejo de errores de memoria agotada y la otra como un problema de uso después de liberar memoria. Ambas podían permitir que un atacante remoto sin autenticación ejecutara código en un sistema afectado. 4
Dicho de forma sencilla: un atacante podría conseguir que un servidor vulnerable ejecutara instrucciones sin tener que iniciar sesión primero. Los fallos recibieron una puntuación de gravedad de 9,2 sobre 10. 49
Que PHP se use, según los reportes, en cerca del 70 % de los sitios web ayuda a entender la urgencia, pero no significa que se confirmara la vulnerabilidad en el 70 % de ellos. La popularidad de PHP indica un alcance potencial; la exposición real depende de los sistemas y las versiones que utiliza cada operador. 49
14
Detección con ayuda de IA y parche de emergencia
Según la información publicada, la empresa de seguridad Calif detectó un fallo en agosto con GPT-5.6 Sol, de OpenAI, durante una auditoría financiada por la iniciativa Patch the Planet de la compañía. Wiz Research también explicó que utilizó Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol en su investigación. Estos relatos respaldan que la IA ayudó en el trabajo; no demuestran que los modelos descubrieran y validaran las vulnerabilidades de forma autónoma. 19
25
El proyecto PHP publicó las correcciones el 21 de octubre. SecurityWeek informó que los identificadores de las vulnerabilidades empezaron a circular el día anterior y que PHP adelantó las actualizaciones un día respecto de la fecha de divulgación prevista. 62 Las versiones con las correcciones reportadas fueron PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
62
Por qué algunos sitios quedaron fuera de servicio
Algunas organizaciones optaron por desconectar servicios mientras revisaban o actualizaban sus sistemas. La BBC informó de interrupciones en portales gubernamentales, plataformas de videojuegos y foros en línea. También señaló que se dejaron fuera de servicio sitios o páginas del Gobierno de Finlandia, el Ayuntamiento de Edimburgo, algunas páginas de la propia BBC y el sitio de la agencia neerlandesa de ciberseguridad. 49
Esos cortes muestran el impacto operativo de la respuesta, pero no prueban por sí solos que los sitios afectados hubieran sido comprometidos. La BBC también informó que la Agencia de Seguridad Nacional de Estados Unidos recomendó desconectar los sistemas PHP si las organizaciones no podían aplicar los parches de inmediato. 49
Los intentos de explotación no son brechas confirmadas
El director ejecutivo de Cloudflare, Matthew Prince, informó de miles de intentos contra la red de la empresa en las horas previas al anuncio público. Según Nextgov, la cifra subió a cientos de miles en las dos horas posteriores y llegó a millones con el tiempo. 22 Esas cifras cuentan intentos de explotación, no intrusiones exitosas verificadas.
La información disponible no permite establecer un total fiable de brechas confirmadas. Las estimaciones de exposición, las solicitudes automatizadas, la actividad registrada en sistemas señuelo y los ataques que logran comprometer un servidor son mediciones distintas; no deben sumarse como si fueran una sola cifra.
Qué significa «Black October» —y qué no
«Black October» se convirtió en una etiqueta para un conjunto más amplio de alertas e incidentes de seguridad ocurridos durante octubre de 2026. PHP2Shell fue uno de los temas centrales, pero los reportes no han establecido que los incidentes formaran parte de un único ciberataque global coordinado. 1
11
14
La evidencia respalda que hubo una alerta grave sobre PHP, una respuesta urgente para instalar parches y cortes preventivos de servicios. No justifica interpretar la presencia de PHP en cerca del 70 % de los sitios como una medida de exposición confirmada, ni tomar los intentos de ataque como prueba de una intrusión masiva.
Para quienes administran servidores, la medida práctica es comprobar qué versión del entorno de ejecución de PHP está instalada y actualizarla a la versión corregida que corresponda. Las correcciones reportadas cubren las ramas PHP 8.2 a 8.5; actualizar un sitio o un gestor de contenidos no necesariamente actualiza el entorno PHP subyacente. 14
62
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: por qué dos fallos de PHP provocaron una carrera mundial por aplicar parches"?
PHP2Shell es el nombre de dos fallos críticos de PHP que podían permitir la ejecución remota de código sin autenticación.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell es el nombre de dos fallos críticos de PHP que podían permitir la ejecución remota de código sin autenticación. Se calcula que PHP se utiliza en cerca del 70 % de los sitios web, pero esa cifra no indica cuántos eran vulnerables o fueron comprometidos.
¿Qué debo hacer a continuación en la práctica?
«Black October» describe un conjunto de alertas e incidentes de seguridad; no prueba que hubiera un único ciberataque coordinado.