RespuestasPublicado25 fuentes
PHP2Shell: la crisis de seguridad que puso a PHP en alerta
PHP publicó el 21 de octubre de 2026 parches para dos vulnerabilidades críticas de ejecución remota de código. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- PHP publicó el 21 de octubre de 2026 parches para dos vulnerabilidades críticas de ejecución remota de código.
- Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quienes administran servidores deberían comprobar qué versión usan y actualizar a la versión corregida correspondiente a su rama.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell es el nombre que se dio a dos vulnerabilidades críticas de PHP, registradas como CVE-2026-109618 y CVE-2026-109619. PHP publicó las correcciones el 21 de octubre de 2026, después de que los detalles se filtraran antes de la divulgación prevista. Para el día 22, empresas de seguridad ya informaban de un fuerte aumento de los intentos de explotación. 1
2
9
18
19
PHP se utiliza, según estimaciones citadas en los informes, en alrededor del 70 % de los sitios web. Esa cifra ayuda a entender la urgencia de la respuesta, pero no significa que el 70 % de los sitios hayan sido vulnerados. 18
19
Qué podían hacer los fallos PHP2Shell
Se describieron como vulnerabilidades de ejecución remota de código (RCE) sin autenticación: en determinadas condiciones, un atacante podía ejecutar código en un servidor vulnerable sin iniciar sesión. Una estaba relacionada con corrupción de memoria por falta de memoria disponible; la otra, con un estado global obsoleto. 6
7
Los informes situaron el posible alcance hasta PHP 5.4. Eso no demuestra que todos los sitios que usan PHP fueran vulnerables en su configuración ni que hubieran sufrido un ataque exitoso. 14
21
Los parches de emergencia y la filtración anticipada
PHP publicó versiones corregidas el 21 de octubre: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. 1
6 La respuesta llegó después de que la información se filtrara el 20 de octubre, antes de la divulgación coordinada que estaba prevista para el día 22. La filtración alteró el calendario y fue seguida por la publicación anticipada de los parches.
2
9
13
Para quienes administran sistemas con PHP, el paso práctico es identificar qué versión ejecuta cada servidor accesible desde la web e instalar la actualización corregida correspondiente a esa rama. Los avisos de seguridad recomiendan revisar las instalaciones que reciben solicitudes web, en lugar de dar por sentado que el problema se limita a un sitio o una aplicación concretos. 7
11
Investigación con ayuda de IA, junto con equipos humanos
OpenAI señaló que la empresa de seguridad Calif identificó uno de los fallos con GPT-5.6 Sol, dentro de la iniciativa Patch the Planet. Wiz, por su parte, descubrió y notificó ambos fallos de forma independiente. Los responsables de PHP lideraron las correcciones y su publicación. 48 OpenAI también afirmó que había dedicado los dos meses anteriores a coordinarse con responsables del proyecto, investigadores y proveedores de seguridad.
48
El caso muestra el uso de IA en la investigación de vulnerabilidades, pero no que una IA haya descubierto, verificado o corregido los fallos por sí sola. Los informes describen un proceso en el que participaron empresas de seguridad y responsables de PHP, además de herramientas de IA. 35
48
Qué se informó sobre los ataques y las interrupciones
Cloudflare informó que los intentos de explotación pasaron de miles antes de la divulgación pública a millones después. También se reportó que Amazon detectó un intento de ataque el 17 de octubre, cuatro días antes de la divulgación pública. Son cifras y reportes de intentos, no un recuento de sistemas comprometidos con éxito. 19
Proveedores de seguridad también informaron de actividad más allá de sus honeypots —sistemas señuelo usados para observar ataques—, aunque en ese momento las autoridades no habían confirmado esos reportes. 17 Por separado, medios informaron que algunos sitios y servicios gubernamentales se desconectaron como medida preventiva; entre ellos, más de 30 servicios del Gobierno británico.
23
La NSA advirtió que los atacantes podían usar los fallos para tomar el control de servidores web, robar datos, interrumpir servicios o avanzar hacia otras partes de las redes. USA Today informó que la agencia recomendó desconectar los sitios que no pudieran corregir el problema rápidamente. 18
23
Los informes describen una respuesta de seguridad acelerada y un alto volumen de tráfico de ataque. No establecen un recuento mundial de intrusiones exitosas. Tampoco debe interpretarse la proporción estimada de sitios que usan PHP como una medida de cuántos quedaron expuestos o fueron comprometidos.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "PHP2Shell: la crisis de seguridad que puso a PHP en alerta"?
PHP publicó el 21 de octubre de 2026 parches para dos vulnerabilidades críticas de ejecución remota de código.
¿Cuáles son los puntos clave a validar primero?
PHP publicó el 21 de octubre de 2026 parches para dos vulnerabilidades críticas de ejecución remota de código. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quienes administran servidores deberían comprobar qué versión usan y actualizar a la versión corregida correspondiente a su rama.