Dos vulnerabilidades críticas en PHP, la tecnología utilizada en el funcionamiento de sitios web y aplicaciones corporativas, han puesto en alerta a los equipos de tecnología y seguridad. Identificadas como CVE-2026-109618 y CVE-2026-109619, y denominadas colectivamente «PHP2Shell», estos fallos permiten a los atacantes ejecutar código de forma remota, sin autenticación, mediante el uso de peticiones web especialmente diseñadas. Los parches de seguridad fueron publicados el 21 de octubre.
El problema reside en el núcleo de PHP, no en un plugin o aplicación específica. Ambas vulnerabilidades han obtenido una puntuación de 9,2 en el sistema de clasificación de gravedad CVSS v4.0. El comunicado oficial del proyecto recomienda una actualización inmediata y señala que las instalaciones de Apache con mod_php presentan el mayor riesgo, ya que es posible explotar la vulnerabilidad incluso antes de que se ejecute el código de la propia aplicación.
El primer fallo implica una corrupción de la memoria durante el procesamiento de peticiones, incluidas aquellas utilizadas para la carga de archivos. El segundo permite que una petición posterior utilice información interna asociada a un segmento de memoria que ya ha sido liberado. En la práctica, estos comportamientos pueden facilitar la ejecución de código malicioso en instalaciones vulnerables.
El desafío comienza antes de la aplicación del parche
Aunque las actualizaciones ya están disponibles, localizar todos los entornos que requieren ser actualizados puede resultar la parte más compleja de la respuesta. En un análisis sobre el caso, la empresa Tanium, la empresa de TI autónoma, destaca que PHP puede estar presente en servidores, contenedores, herramientas de desarrollo y aplicaciones de terceros, e incluso en estaciones de trabajo.
En Windows, por ejemplo, esta tecnología puede estar distribuida dentro de una carpeta o integrada en otro software, sin aparecer en la lista de programas instalados. En aplicaciones que incluyen su propia copia de PHP, actualizar únicamente los paquetes del sistema operativo puede dejar intacta la versión vulnerable.
Esta dispersión exige que las empresas combinen el inventario de software, la identificación de archivos y el análisis de los procesos en ejecución. También es necesario distinguir entre una instalación presente en el equipo y un servicio que efectivamente recibe peticiones a través de Internet; una distinción que influye en la prioridad de la respuesta.
Los intentos de explotación aumentan la urgencia. Según un análisis de Tanium, publicado el pasado 21 de octubre, ya se habían reportado intentos de explotación en entornos de monitorización. La viabilidad de los ataques varía en función de la configuración y la plataforma, pero esta diferencia no elimina la necesidad de corregir las instalaciones afectadas.