RespuestasPublicado24 fuentes
PHP2Shell deja una pregunta clave: ¿quién financia la seguridad del software del que depende la web?
PHP2Shell agrupó dos fallos críticos que permitían ejecutar código de forma remota sin autenticación y recibieron una puntuación de gravedad de 9,2. Se estima que PHP se utiliza en hasta el 70 % de los sitios web, pero las fuentes disponibles no confirman la afirmación específica de que más de 33 millones de sistema...
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell agrupó dos fallos críticos que permitían ejecutar código de forma remota sin autenticación y recibieron una puntuación de gravedad de 9,2.
- Se estima que PHP se utiliza en hasta el 70 % de los sitios web, pero las fuentes disponibles no confirman la afirmación específica de que más de 33 millones de sistemas seguían vulnerables el 23 de octubre.[11]
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell fue una seria advertencia sobre la seguridad del software de uso extendido y el trabajo necesario para mantenerlo protegido. En octubre de 2026, dos fallos críticos de PHP obligaron a publicar actualizaciones de emergencia para un lenguaje que, según estimaciones citadas en la prensa, se utiliza en hasta el 70 % de los sitios web.11 El incidente también reavivó una pregunta más amplia: ¿tienen los proyectos de código abierto capacidad suficiente para revisar, corregir y mantener el software del que depende buena parte de la web?
22
Qué ocurrió con PHP2Shell
Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, podían permitir que un atacante ejecutara código de forma remota en sistemas PHP afectados, sin necesidad de autenticarse. Los dos fallos recibieron una puntuación de gravedad de 9,2.9
17 Se trata de vulnerabilidades del entorno de ejecución de PHP; su descubrimiento no demuestra que todas las aplicaciones hechas con PHP fueran inseguras.
PHP publicó las correcciones el 21 de octubre de 2026 en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.18
27 En su descripción de la investigación, Calif atribuyó el descubrimiento a Calif, OpenAI y Wiz.
15 También se informó de problemas en el proceso de divulgación coordinada: responsables de PHP acusaron a Chainguard de revelar información antes de la fecha prevista, tras lo cual el proyecto publicó los parches antes de lo programado.
35
37
La amplia presencia de PHP ayuda a entender la urgencia. Algunas noticias estimaron que se utiliza en hasta el 70 % de los sitios web, pero esa cifra se refiere a su prevalencia, no al número de sitios vulnerables o comprometidos.11 Las fuentes disponibles tampoco confirman la afirmación específica de que la EFF estimara que más de 33 millones de sistemas seguían vulnerables el 23 de octubre.
Los intentos de ataque no prueban que hubiera intrusiones exitosas
Según se informó, Amazon detectó un intento de explotación el 17 de octubre, antes de la publicación pública de los parches, y más adelante describió esfuerzos generalizados para aprovechar los fallos.34 Otras coberturas hablaron de millones de intentos.
6 Por separado, se documentaron cierres preventivos mientras distintas organizaciones atendían las vulnerabilidades, incluidos servicios vinculados al Ministerio de Finanzas de Japón y al puerto de Róterdam.
12
Pero un intento de explotación no equivale a una intrusión confirmada. La BBC informó el 22 de octubre que no se habían registrado casos de explotación exitosa; Security Affairs señaló igualmente el 23 de octubre que no había confirmación de ataques exitosos.9
31 Las diferencias podrían deberse a los periodos analizados o a cómo cada fuente define «explotación». La evidencia citada permite hablar de actividad de ataque y de preocupación, pero no concluir que millones de sistemas fueran vulnerados con éxito.
La lección para la seguridad del código abierto: descubrir no basta
PHP2Shell muestra el valor de encontrar fallos en componentes fundamentales, incluso en proyectos consolidados. Pero el descubrimiento es solo el primer paso: alguien debe revisar y publicar las correcciones, y quienes operan los sistemas necesitan identificar cuáles están afectados e instalar las actualizaciones. Sovereign Tech presentó explícitamente el incidente como una muestra del déficit de financiación en la seguridad de proyectos críticos de código abierto.22
Por eso, la capacidad de mantener el software seguro —y no solo la cantidad de errores que se descubren— es una preocupación central. Más hallazgos pueden aumentar el trabajo de mantenedores y equipos de defensa, pero un aumento reportado de vulnerabilidades, por sí solo, no demuestra que el software sea menos seguro ni que la inteligencia artificial sea la causa. Encontrar un fallo tampoco aporta automáticamente el trabajo humano necesario para verificarlo, coordinar su divulgación y publicar e instalar una solución fiable.
La conclusión prudente no es que PHP sea inseguro por naturaleza. Es que un software usado en una parte importante de la web necesita revisión y mantenimiento de seguridad sostenidos, y que los métodos más rápidos para descubrir fallos vuelven ese trabajo más urgente.11
22
Qué deberían hacer quienes operan sistemas PHP
Para las organizaciones que utilizan PHP, la respuesta práctica es:
- Hacer un inventario de los sistemas accesibles desde internet. Identificar qué servicios usan PHP y registrar la versión concreta del entorno de ejecución.
- Instalar la corrección adecuada. Utilizar la versión correspondiente a la rama de PHP instalada o seguir las instrucciones verificadas del proveedor si este empaqueta o mantiene el entorno. PHP publicó versiones corregidas el 21 de octubre.
18
27
- Comprobar qué versión está en funcionamiento. Verificar que los servicios y procesos desplegados utilizan el entorno actualizado. Las recomendaciones operativas publicadas también indican reiniciar los procesos de PHP después de actualizar.
32
- Describir los incidentes con precisión. Distinguir entre sistemas afectados, intentos de ataque, intrusiones confirmadas y afirmaciones sin verificar. El tráfico malicioso y los cierres preventivos no demuestran por sí solos que un sistema haya sido vulnerado.
La lección duradera de PHP2Shell abarca toda la cadena de seguridad: descubrimiento, revisión, divulgación coordinada, publicación de parches e instalación. Financiar el mantenimiento que sostiene cada etapa es parte de proteger la infraestructura crítica de código abierto; no es un gasto opcional.22
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell deja una pregunta clave: ¿quién financia la seguridad del software del que depende la web?"?
PHP2Shell agrupó dos fallos críticos que permitían ejecutar código de forma remota sin autenticación y recibieron una puntuación de gravedad de 9,2.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell agrupó dos fallos críticos que permitían ejecutar código de forma remota sin autenticación y recibieron una puntuación de gravedad de 9,2. Se estima que PHP se utiliza en hasta el 70 % de los sitios web, pero las fuentes disponibles no confirman la afirmación específica de que más de 33 millones de sistemas seguían vulnerables el 23 de octubre.[11]