RespuestasPublicado24 fuentes
Qué pasó con PHP2Shell y por qué urgía actualizar
CVE 2026 109618 y CVE 2026 109619, conocidas en conjunto como PHP2Shell, podían permitir ejecución remota de código sin autenticación y recibieron una puntuación CVSS de 9,2. Calif identificó las fallas con ayuda de IA en el marco de Patch the Planet, de OpenAI; Wiz también las detectó de forma independiente.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- CVE 2026 109618 y CVE 2026 109619, conocidas en conjunto como PHP2Shell, podían permitir ejecución remota de código sin autenticación y recibieron una puntuación CVSS de 9,2.
- Calif identificó las fallas con ayuda de IA en el marco de Patch the Planet, de OpenAI; Wiz también las detectó de forma independiente.
- Tras una divulgación anticipada el 20 de octubre, PHP publicó actualizaciones de emergencia el 21, antes de la fecha prevista del 22.
- Amazon reportó un intento de explotación observado antes de la divulgación pública, pero los intentos no demuestran por sí solos que hubiera intrusiones exitosas o brechas masivas.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell puso en alerta a administradores y equipos de seguridad en octubre de 2026: dos vulnerabilidades en el núcleo de PHP podían permitir que alguien ejecutara código en un servidor sin autenticarse. PHP publicó parches de emergencia el 21 de octubre, después de que detalles de las fallas se hicieran públicos antes de lo previsto. 15
18
24
La prioridad era revisar qué servidores ejecutaban PHP y aplicar las actualizaciones correspondientes. Pero conviene distinguir entre sistemas potencialmente expuestos, intentos de explotación e intrusiones confirmadas: la información disponible no demuestra que PHP2Shell provocara brechas exitosas a gran escala.
Dos fallas críticas en el núcleo de PHP
Las vulnerabilidades recibieron los identificadores CVE-2026-109618 y CVE-2026-109619, y se agruparon bajo el nombre PHP2Shell. Ambas obtuvieron una puntuación de 9,2 en CVSS v4.0, una escala que sirve para valorar la gravedad de las vulnerabilidades. 3
10
La primera falla se relaciona con corrupción de memoria cuando PHP se queda sin memoria; la segunda, con un estado global obsoleto. En determinadas condiciones, ambas podían conducir a ejecución remota de código, es decir, a que un atacante hiciera ejecutar instrucciones en el servidor sin contar primero con una cuenta. 4
7
15
Los informes sitúan el alcance en versiones de PHP desde la 5.4 en adelante. El proyecto publicó versiones corregidas para las ramas 8.2, 8.3, 8.4 y 8.5: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. 14
15 La recomendación para quienes administraban sitios o servicios web era identificar las instalaciones afectadas y actualizar, no confiar en que cambiar un plugin o el CMS bastaría para corregir un problema del propio entorno de ejecución de PHP.
5
15
Cómo se descubrieron y por qué se adelantó la respuesta
Según los informes, Calif encontró las fallas en agosto como parte de la iniciativa Patch the Planet de OpenAI. Wiz también las identificó de manera independiente. En los relatos sobre el trabajo asistido por IA aparecen GPT-5.6 Sol, Wiz Atlas y Gemini 4 Argon. 6
18
21
La divulgación pública se adelantó al calendario de publicación previsto: los detalles aparecieron el 20 de octubre y los parches, programados inicialmente para el día 22, se publicaron el 21. 18
24 La NSA recomendó hacer un inventario de los servicios que dependían de PHP y priorizar los parches; CISA también instó a actualizar de inmediato. Google, AWS y Microsoft publicaron orientaciones para sus clientes.
3
17
18
Exposición no significa compromiso
PHP sustenta una parte importante de la web: una estimación citada en la cobertura lo sitúa en torno al 70 %. Palo Alto Networks identificó más de 22,6 millones de instancias expuestas a internet que podrían ser vulnerables. Esas cifras describen una posible superficie de exposición, no el número de sitios atacados con éxito. 23
Amazon informó de un intento de explotación observado el 17 de octubre, cuatro días antes de la divulgación pública. La existencia de ese intento es una señal de alerta, pero no permite concluir por sí sola que el ataque haya tenido éxito. 4
6 Sansec señaló el 22 de octubre que la explotación masiva parecía menos probable de lo que había estimado inicialmente.
10
Por eso, los reportes sobre actividad, demostraciones técnicas y compromisos confirmados no deben tratarse como equivalentes. La evidencia disponible justifica la urgencia de actualizar, pero no permite afirmar que hubiera brechas generalizadas causadas por PHP2Shell.
Una advertencia adicional del 23 de octubre
PHP informó después de otra posible vía de ejecución remota, identificada como CVE-2026-115560, que requería una combinación poco habitual de ajustes de sesión y código de aplicación. Como medida temporal, recomendó configurar session.upload_progress.enabled=0 hasta la siguiente versión de corrección periódica. 19
La lección práctica fue clara: inventariar las instalaciones de PHP, comprobar qué versión ejecutaban y aplicar la actualización apropiada. La magnitud potencial del problema hacía razonable actuar con rapidez, pero no justificaba dar por hecho que cada servidor expuesto ya había sido vulnerado. 17
18
23
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Qué pasó con PHP2Shell y por qué urgía actualizar"?
CVE 2026 109618 y CVE 2026 109619, conocidas en conjunto como PHP2Shell, podían permitir ejecución remota de código sin autenticación y recibieron una puntuación CVSS de 9,2.
¿Cuáles son los puntos clave a validar primero?
CVE 2026 109618 y CVE 2026 109619, conocidas en conjunto como PHP2Shell, podían permitir ejecución remota de código sin autenticación y recibieron una puntuación CVSS de 9,2. Calif identificó las fallas con ayuda de IA en el marco de Patch the Planet, de OpenAI; Wiz también las detectó de forma independiente.
¿Qué debo hacer a continuación en la práctica?
Tras una divulgación anticipada el 20 de octubre, PHP publicó actualizaciones de emergencia el 21, antes de la fecha prevista del 22.
Fuentes
securityweek.comTech and Security Companies Respond to PHP2Shell ...
scworld.comCISA advises orgs to patch PHP2Shell bugs immediately
stuttgarter-nachrichten.dePHP-Programmiersprache: Eine „Super-KI“ fand die Sicherheitslücke
in.mashable.comGoogle, AWS & Microsoft Address PHP2Shell Vulnerability That Is Affecting 70% Of Internet