RespuestasPublicado25 fuentes
PHP2Shell: dos fallas críticas de PHP y el papel de la IA en su descubrimiento
PHP2Shell agrupa dos fallas críticas que pueden permitir la ejecución remota de código en servidores PHP sin autenticación. PHP publicó parches de emergencia el 21 de octubre de 2026.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP2Shell agrupa dos fallas críticas que pueden permitir la ejecución remota de código en servidores PHP sin autenticación.
- PHP publicó parches de emergencia el 21 de octubre de 2026. Calif usó GPT 5.6 Sol para identificar una falla y Wiz descubrió y reportó ambas de forma independiente.
- Hubo intentos de explotación y actividad de sondeo, pero los reportes citados no confirman intrusiones exitosas ni ataques realizados por agentes de IA.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell es el nombre que reciben dos vulnerabilidades críticas de PHP: CVE-2026-109618 y CVE-2026-109619. Ambas obtuvieron una puntuación de 9,2 en CVSS 4.0 y pueden permitir la ejecución remota de código, lo que podría poner en riesgo un servidor PHP incluso sin que el atacante inicie sesión. PHP publicó parches de emergencia el 21 de octubre de 2026. 8
9
10
El caso también puso el foco en la investigación de seguridad asistida por inteligencia artificial. Calif utilizó GPT-5.6 Sol, de OpenAI, para identificar una falla crítica, mientras que Wiz descubrió y reportó las dos vulnerabilidades de forma independiente. Los reportes de sondeos o intentos de explotación, sin embargo, no equivalen a confirmar que un servidor haya sido comprometido. 20
29
34
Qué pueden hacer las dos fallas de PHP2Shell
Las vulnerabilidades afectan al propio lenguaje PHP, no a una plataforma web o un complemento específico. La CVE-2026-109618 está relacionada con el manejo de una situación de falta de memoria mientras los datos de una solicitud todavía se están inicializando. La CVE-2026-109619 tiene que ver con información interna obsoleta que permanece después de que se libera la memoria que la respaldaba. Ambas pueden dar lugar a la ejecución remota de código. 10
26
Cada falla recibió una puntuación de 9,2 en CVSS 4.0, una escala que mide la gravedad de vulnerabilidades. La calificación es crítica: un atacante podría llegar a ejecutar código en un servidor afectado desde otra ubicación y sin autenticarse. 9
10
Cómo contribuyó la investigación asistida por IA
Calif identificó una falla crítica con GPT-5.6 Sol, de OpenAI, como parte de la iniciativa Patch the Planet. Por otro lado, Wiz descubrió y reportó ambas vulnerabilidades de manera independiente. Según los reportes, su investigación combinó Wiz Atlas con Gemini 4 Argon y GPT-5.6 Sol. 20
29
Las fuentes no coinciden del todo sobre las primeras fechas: un reporte indica que Calif encontró las fallas el 1 de agosto, mientras que otro señala que investigadores informaron a PHP sobre la primera el 11 de agosto. Ambos relatos describen una etapa de descubrimiento y coordinación con los responsables de PHP antes de la divulgación de octubre. 20
30
La diferencia es importante: la IA ayudó a investigadores a encontrar vulnerabilidades, pero los reportes disponibles no demuestran que agentes de IA hayan llevado a cabo los ataques posteriores.
Parches de emergencia y sitios web fuera de línea
PHP publicó las correcciones el 21 de octubre en las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Estos números corresponden a las versiones oficiales del proyecto PHP. Las distribuciones de Linux pueden incorporar las correcciones sin cambiar el número de versión de sus paquetes; por eso, quienes administran servidores también deberían consultar los avisos de seguridad de su distribución. 8
27
La divulgación llevó a algunos operadores de sitios web a desconectar sistemas mientras evaluaban el riesgo. Según los reportes, sitios web gubernamentales de Europa y otras regiones quedaron fuera de línea el 21 de octubre. 21 Otra fuente afirma que la filtración de detalles sobre las vulnerabilidades contribuyó a adelantar un día la publicación que PHP tenía prevista.
22
33
Para las organizaciones que usan PHP, la prioridad práctica es confirmar que la instancia que atiende el tráfico web tenga instalada la corrección correspondiente, aplicar la actualización y seguir las instrucciones específicas de reinicio o verificación del proveedor. Si el servidor está a cargo de una empresa de alojamiento, conviene pedirle que confirme que ya está parcheado en lugar de guiarse solo por el aspecto o el funcionamiento visible del sitio. 8
24
Los intentos de explotación no prueban que hubiera ataques exitosos
Según los reportes, Cloudflare y Patchstack observaron actividad de sondeo antes de que PHP publicara el parche del 21 de octubre. Un informe posterior habló de millones de intentos de ataque, mientras que la BBC indicó que, hasta el 22 de octubre, no se conocían casos de explotación exitosa. Esta información justifica actuar con cautela, pero no demuestra que los intentos reportados terminaran en intrusiones confirmadas. 2
3
34
La conclusión debe ser precisa: PHP2Shell era una vulnerabilidad grave, atrajo rápidamente la atención de atacantes y requería instalar el parche con urgencia. Pero las cifras de actividad no deben presentarse como si fueran el número de servidores efectivamente comprometidos. Los reportes citados tampoco ofrecen una estimación fiable de cuántos sitios vulnerables estuvieron expuestos ni confirman ataques realizados por agentes de IA.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: dos fallas críticas de PHP y el papel de la IA en su descubrimiento"?
PHP2Shell agrupa dos fallas críticas que pueden permitir la ejecución remota de código en servidores PHP sin autenticación.
¿Cuáles son los puntos clave a validar primero?
PHP2Shell agrupa dos fallas críticas que pueden permitir la ejecución remota de código en servidores PHP sin autenticación. PHP publicó parches de emergencia el 21 de octubre de 2026. Calif usó GPT 5.6 Sol para identificar una falla y Wiz descubrió y reportó ambas de forma independiente.
¿Qué debo hacer a continuación en la práctica?
Hubo intentos de explotación y actividad de sondeo, pero los reportes citados no confirman intrusiones exitosas ni ataques realizados por agentes de IA.
Fuentes
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...