PHP2Shell: dos vulnerabilidades críticas (CVSS 9.2) permiten ejecutar código en cualquier servidor PHP sin credenciales — parches disponibles para versiones soportadas

El 21 de octubre PHP publicó parches de emergencia para dos vulnerabilidades críticas de ejecución remota de código que afectan toda instalación PHP que sirva solicitudes web. Si tu sitio, servidor o aplicación corre PHP, hay acción inmediata requerida.

Qué son CVE-2026-109618 y CVE-2026-109619

Los dos fallos recibieron el nombre colectivo de PHP2Shell. Ambos tienen una puntuación CVSSv4.0 de 9.2 (crítico) según el equipo de seguridad de PHP. El problema central: permiten que un atacante ejecute comandos arbitrarios en el servidor sin necesitar credenciales de acceso — basta con poder enviar una solicitud HTTP.

Los detalles técnicos completos no se publicaron hasta después de que los parches estuvieran disponibles, pero watchTowr confirmó haber reproducido CVE-2026-109618. El CTO de Cloudflare, Dane Knecht, dijo el 22 de octubre que la empresa ya está detectando los primeros ataques activos en su red.

Por qué es inusualmente grave

Una vulnerabilidad de ejecución de código sin autenticación en PHP es diferente a la mayoría de los CVEs de aplicaciones web. No explota WordPress, ni un plugin, ni una configuración incorrecta: explota el motor que corre PHP. Eso significa que una instalación PHP predeterminada con configuración estándar ya está en riesgo — no se necesita ningún error del administrador para quedar expuesto.

PHP dijo explícitamente que toda instalación que sirva solicitudes web podría estar expuesta. En la práctica eso cubre una fracción enorme de internet: sitios WordPress, aplicaciones en Laravel, Symfony, Joomla, Drupal, y cualquier servidor que use PHP-FPM o mod_php con Apache o Nginx.

Qué pasó el 21 de octubre

Los detalles de las vulnerabilidades se filtraron antes de la divulgación coordinada, lo que comprimió la ventana disponible para que las organizaciones parchearan antes de que los atacantes pudieran actuar. La respuesta operativa mostró la magnitud del impacto:

• Finlandia cerró temporalmente servicios web del gobierno
• El consejo municipal de Edimburgo y la BBC tomaron páginas fuera de línea de manera preventiva
• Agencias de seguridad en varios países aconsejaron a las organizaciones que no pudieran parchear de inmediato considerar aislar los sistemas vulnerables de internet

El papel de la IA en el descubrimiento

Las dos vulnerabilidades fueron encontradas con asistencia de modelos de lenguaje de gran escala. OpenAI informó que uno de sus modelos de frontera identificó uno de los fallos críticos; Wiz encontró ambas vulnerabilidades de forma independiente. Los investigadores también usaron modelos de frontera para ayudar a desarrollar exploits de prueba de concepto y verificar los parches.

OpenAI describió el período entre el descubrimiento asistido por IA y la divulgación pública como una "Ventana del Defensor": el tiempo durante el cual los maintainers e infraestructura pueden preparar parches antes de que los atacantes adquieran las mismas capacidades. La compresión de esa ventana — porque los modelos de IA también pueden ayudar a desarrollar exploits — cambia el tiempo disponible para responder a vulnerabilidades críticas.

Qué hacer ahora

Si gestionás un VPS o servidor dedicado:

1. Verificar la versión instalada: php -v
2. Actualizar a la última versión parcheada de tu rama soportada (consultá la página oficial de versiones soportadas de PHP para confirmar cuál rama 8.x aplica a tu instalación, con los parches de seguridad del 21 de octubre)
3. Si usás una versión sin soporte: migrar a una versión soportada o aislar el servidor de solicitudes externas hasta poder hacerlo

Si usás hosting compartido (cPanel): El proveedor es responsable de actualizar PHP en el servidor. Verificar con el panel o con soporte que la versión asignada a tu cuenta ya tiene los parches aplicados. Si tu cPanel muestra versiones PHP disponibles, seleccionar la más reciente del listado.

Versiones sin soporte (ramas que ya superaron su ciclo de vida oficial, incluyendo PHP 7.4 y versiones anteriores) no recibirán parche. La única opción es actualizar a una rama de PHP 8.x que todavía reciba soporte — proceso que puede requerir ajustes en el código de la aplicación, especialmente en WordPress con plugins antiguos.