Una inteligencia artificial revisó el código fuente de PHP, el lenguaje que mueve el 75% de los sitios web del mundo, y encontró dos vulnerabilidades críticas que llevaban más de diez años ocultas. El parche llegó el 21 de octubre.
Alerta mundial · Ciberseguridad
PHP2Shell: la falla que una IA encontró escondida por más de una década y que pone en riesgo siete de cada diez sitios web del mundo
Una inteligencia artificial revisó el código fuente de PHP, el lenguaje que mueve el 75% de los sitios web del mundo, y encontró dos vulnerabilidades críticas que llevaban más de diez años ocultas. El parche llegó el 21 de octubre. Pero hasta este jueves, 1,5 millones de servidores seguían sin actualizarse. Gobiernos, Wikipedia y hospitales desconectaron sus sitios. Así funciona la falla, esto es lo que está en riesgo y lo que puede hacer si tiene un sitio web.
Redacción Altavoz360 · Tecnología · Octubre 2026
75%De los sitios web del mundo usan PHP, según W3Techs. Ahí radica la escala del riesgo
9,2/10Puntuación de gravedad de las dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619). Casi el máximo posible
1,5MServidores sin parchear detectados por Censys horas después de publicarse el parche, de un total de 2,6 millones escaneados
+10 añosTiempo que las vulnerabilidades llevaban ocultas en el código fuente de PHP sin que nadie las detectara
En resumen
Dos vulnerabilidades críticas en PHP —el lenguaje de programación detrás del 75% de los sitios web— fueron descubiertas con herramientas de inteligencia artificial y divulgadas el 21 de octubre de 2026.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten que un atacante ejecute código malicioso en un servidor sin necesidad de contraseña ni acceso previo.
El parche fue publicado el mismo día del anuncio por la PHP Foundation: versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Países de Europa, Asia, Australia y Estados Unidos ordenaron actualizar de inmediato o desconectar los sistemas vulnerables. Varios sitios gubernamentales, Wikipedia y la agencia de ciberseguridad de los Países Bajos optaron por desconectarse preventivamente.
Los más expuestos son los sitios en alojamiento compartido: los proveedores de hosting deben aplicar el parche por el propietario del sitio, y muchos no lo hacen de forma automática.
Las plataformas más afectadas son WordPress, Drupal, Joomla y Magento. Actualizar el CMS no basta: hay que actualizar PHP a nivel del servidor.
Primero, qué es PHP y por qué casi todo el internet depende de él
PHP es un lenguaje de programación que se ejecuta en el servidor, no en el navegador del usuario. Cuando alguien entra a un sitio web construido con PHP, el servidor recibe la solicitud, ejecuta el código PHP, procesa datos y devuelve la página terminada. Es invisible para el visitante, pero es la columna vertebral de millones de aplicaciones.
Según el rastreador W3Techs, PHP mueve aproximadamente el 75% de los sitios web cuyo lenguaje puede identificarse. WordPress —que por sí solo alimenta el 43% de toda la web— está construido en PHP. Lo mismo ocurre con Drupal, Joomla, Magento (comercio electrónico), MediaWiki (la plataforma de Wikipedia), y decenas de miles de aplicaciones empresariales, de salud, gubernamentales y financieras. PHP no es un componente menor: es infraestructura crítica de internet.
Que una vulnerabilidad crítica aparezca en PHP no es como descubrir un hueco en un plugin mal programado. Es como descubrir que los cimientos de un edificio tienen una grieta que nadie vio durante diez años.
Qué es PHP2Shell y cómo funciona el ataque
Las dos vulnerabilidades reciben el nombre colectivo de PHP2Shell y están registradas como CVE-2026-109618 y CVE-2026-109619. Ambas tienen una puntuación de 9,2 sobre 10 en la escala de gravedad estándar usada por la industria de ciberseguridad.
El problema está en el motor central de PHP, no en un módulo externo ni en un plugin. Específicamente, en la forma en que el intérprete maneja la memoria cuando ocurre un fallo inesperado durante la ejecución de una operación. Cuando algo falla, PHP puede conservar datos internos corruptos, y las solicitudes siguientes reutilizan esa información sin saberlo. Un atacante que sepa aprovechar esa ventana puede inyectar instrucciones directamente al servidor.
El resultado: ejecución remota de código sin autenticación. En términos simples, un atacante puede hacer que el servidor ejecute sus propios comandos como si fuera el dueño del sitio, sin necesidad de adivinar una contraseña ni pasar por ningún formulario de acceso. Puede acceder a bases de datos, robar archivos, modificar el contenido del sitio o usar el servidor comprometido para atacar a otros.
«Estos fallos representan el problema de seguridad más grave que el lenguaje PHP ha enfrentado en más de una década. Su escala lo asemeja a Heartbleed.»
Ingeniero de seguridad de la PHP Foundation, citado por BioBioChile
La comparación con Heartbleed es relevante: aquella vulnerabilidad, descubierta en 2014 en la biblioteca OpenSSL, también afectó a una porción enorme de la web y generó una crisis global de actualizaciones. La diferencia es que PHP2Shell lleva oculta más de diez años, según Wiz, la empresa de seguridad en la nube propiedad de Google que también participó en el hallazgo.
Cómo una IA encontró lo que los humanos no vieron en diez años
El investigador Ryan Austin, de la empresa de seguridad Calif, usó en agosto de 2026 el modelo GPT-5.6 Sol de OpenAI para revisar el código fuente de PHP. La IA detectó un patrón anómalo en la lógica de manejo de errores que los revisores humanos habían pasado por alto durante años.
El hallazgo se reportó en privado a los mantenedores de PHP el 11 de agosto. Semanas después, Wiz —usando sus propias herramientas de IA, más Gemini de Google y el mismo GPT-5.6 Sol— encontró de forma independiente las mismas vulnerabilidades y descubrió vías de explotación adicionales. Todo el proceso se mantuvo en confidencialidad mientras la PHP Foundation preparaba el parche.
El fix no fue un ajuste de dos líneas: el parche modificó más de 200 archivos del código fuente y sumó más de 10.000 líneas de cambios. Una reparación de esa magnitud confirma que el problema no era trivial. El plan era publicarlo el 22 de octubre de forma coordinada, pero detalles de la vulnerabilidad se filtraron en Hacker News el 20 de octubre, lo que obligó a adelantar el anuncio oficial.
El programa detrás del descubrimiento se llama «Patch the Planet» y es una iniciativa de OpenAI orientada a usar modelos de IA para encontrar fallos de seguridad en software de código abierto antes de que actores maliciosos lo hagan. PHP2Shell es su primer resultado público de gran escala.
El impacto global: qué sitios cayeron y quién ordenó desconectarse
Pais / Entidad
Medida tomada
Paises Bajos
La agencia nacional de ciberseguridad se desconectó como medida preventiva. El servicio de identidad digital DigiD, el sitio de la Camara de Representantes y el portal del centro de ciberseguridad nacional también quedaron inaccesibles.
Francia
La agencia nacional de ciberseguridad ordenó a sitios del gobierno local desconectarse. El sitio de la Prefectura de Policía de París quedó fuera de línea.
Estados Unidos
La NSA ordenó actualizar de inmediato o desconectar sistemas vulnerables. La Casa Blanca declaró haber conocido la vulnerabilidad el viernes 17 de octubre y encuadró el descubrimiento como evidencia del liderazgo de EE.UU. en IA.
Japon
El primer ministro instó a los administradores de sitios a verificar si usan PHP y a instalar las actualizaciones. La oficina nacional de ciberseguridad recomendó suspender temporalmente los servicios que no puedan parcharse de inmediato.
Europa (CERT-EU)
Emitió advertencia urgente. Varias instituciones europeas tomaron sus sitios fuera de línea preventivamente.
Australia
La agencia de ciberseguridad advirtió sobre un incremento en filtraciones de datos asociadas a la vulnerabilidad.
Wikipedia
Desconectó un número no especificado de sistemas hasta poder aplicar el parche de forma segura.
En Colombia, la situación al cierre de este artículo no registraba una comunicación oficial del Ministerio TIC ni del Centro Cibernético Policial sobre medidas específicas tomadas ante PHP2Shell. Sin embargo, dado que la mayoría de sitios institucionales y empresariales del país usan WordPress —y por tanto PHP—, el riesgo es equivalente al del resto de la región. Los portales en alojamiento compartido son los más vulnerables porque dependen de que el proveedor de hosting aplique el parche.
Cómo saber si su sitio web está en riesgo
La pregunta más práctica es sencilla: ¿su sitio usa PHP? Si la respuesta es sí —y si está en WordPress, Drupal, Joomla o Magento, la respuesta es sí—, entonces el riesgo existe mientras no se aplique el parche. Lo que determina el nivel de exposición es la versión de PHP que corre su servidor.
Como verificar su version de PHP
Opcion 1
Desde el panel de control de su hosting
La mayoría de proveedores de alojamiento (cPanel, Plesk, SiteGround, GoDaddy, Hostgator, Ionos) muestran la versión de PHP activa en la sección «PHP Manager», «Configuración PHP» o «Software». Busque un número como «7.4», «8.1», «8.3», etc.
Opcion 2
Desde WordPress (si usa ese CMS)
Vaya a Escritorio → Herramientas → Salud del sitio → Información. Expanda la sección «Servidor». Verá «Versión de PHP» con el número exacto.
Opcion 3
Consulte directamente a su proveedor
Muchos sitios en alojamiento compartido en Colombia y América Latina no permiten que el propietario controle la versión de PHP directamente. En ese caso, lo más rápido es contactar al soporte del hosting y preguntar: «¿Tienen aplicado el parche para CVE-2026-109618 y CVE-2026-109619 en PHP?»
Resultado esperado
Versiones seguras (con el parche aplicado)
PHP 8.5.12 o superior · PHP 8.4.27 o superior · PHP 8.3.36 o superior · PHP 8.2.35 o superior. Si su versión es anterior a cualquiera de esas, o si corre PHP 7.x o inferior, está expuesto y debe actuar.
Qué hacer ahora: pasos concretos según su situación
Si usted administra su propio servidor (VPS o servidor dedicado)
Actualice PHP de inmediato a la versión parcheada correspondiente (8.2.35, 8.3.36, 8.4.27 o 8.5.12). El comando varía según su sistema operativo, pero en la mayoría de servidores Linux es apt upgrade php o yum update php.
Si no puede actualizar de inmediato, las autoridades de ciberseguridad recomiendan desconectar temporalmente el servicio hasta tener el parche listo. Un sitio caído por mantenimiento es mejor que un servidor comprometido.
Revise los registros del servidor (logs de acceso y errores) de los últimos días en busca de solicitudes anómalas o actividad inusual.
Compruebe la integridad de los archivos del sitio para descartar que alguien ya haya aprovechado la falla antes del anuncio.
Si usa hosting compartido (la mayoria de sitios en Colombia)
Contacte a su proveedor de hosting hoy mismo y pregunte explícitamente si aplicaron el parche para PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Guarde la respuesta por escrito.
Verifique la versión PHP desde el panel siguiendo los pasos descritos arriba. Si el proveedor aún no actualizó, solicite que lo hagan con urgencia.
Actualice WordPress (o el CMS que use) a la versión más reciente. Esto no reemplaza el parche de PHP, pero cierra otras puertas de entrada.
Active un firewall de aplicaciones web (WAF) si su proveedor lo ofrece (Cloudflare, Sucuri, WordFence Premium). Puede bloquear intentos de explotación mientras espera el parche.
Haga una copia de seguridad completa ahora, antes de que algo pueda pasar. Si su proveedor no la hace automáticamente, descargue una manualmente.
Qué puede pasar si no actúa: las consecuencias reales
Riesgos concretos de no parchear
Robo de datos de clientes: bases de datos con correos, contraseñas, historiales de compra o información personal quedan expuestas al acceso directo del atacante.
Defacement: el sitio puede ser modificado para mostrar mensajes de hackers, contenido ofensivo o propaganda, dañando la imagen de la marca.
Ransomware: el servidor puede ser cifrado y el atacante puede exigir un pago para devolver el acceso.
Uso del servidor para atacar a terceros: su servidor comprometido puede convertirse en parte de una red de bots usada para atacar otros sitios o enviar spam masivo.
Caída del sitio: algunos exploits simplemente destruyen la configuración del servidor, dejando el sitio inaccesible sin posibilidad de recuperación fácil.
Consecuencias legales en Colombia: bajo la Ley 1581 de 2012 (protección de datos personales), una empresa que no toma medidas razonables para proteger datos de clientes puede enfrentar sanciones de la Superintendencia de Industria y Comercio.
Qué se está haciendo para corregirlo a nivel global
La PHP Foundation publicó el parche el 21 de octubre de 2026. La corrección implicó modificar más de 200 archivos y cambiar más de 10.000 líneas de código, lo que da cuenta de la magnitud del problema. El parche está disponible para las ramas 8.2, 8.3, 8.4 y 8.5 de PHP.
Agencias de ciberseguridad de Estados Unidos (NSA y CISA), Europa (CERT-EU), Australia, Japón y el Reino Unido emitieron alertas urgentes recomendando la actualización inmediata o la desconexión temporal de sistemas que no puedan parchearse de inmediato. Es una respuesta coordinada inusual que refleja la gravedad de la situación.
Los proveedores de alojamiento más grandes del mundo —Amazon Web Services, Google Cloud, Microsoft Azure, Cloudflare— activaron sus propios mecanismos de mitigación a nivel de infraestructura para los clientes que usan sus servicios administrados. Sin embargo, quienes tienen servidores propios o están en hosting compartido de proveedores pequeños deben aplicar el parche manualmente.
El debate de fondo que abrió PHP2Shell es más incómodo: la misma IA que encontró la falla puede ayudar a los atacantes a explotarla antes de que los administradores alcancen a parchear. Fortune lo resumió así en su cobertura: «Ahora la carrera es parchear antes de que los hackers con IA ataquen.» La ventana de tiempo entre el anuncio de una vulnerabilidad y el primer ataque masivo se está acortando cada vez más.
Este artículo fue elaborado con asistencia de inteligencia artificial y revisado editorialmente por el equipo de Altavoz360. Los hechos fueron verificados en Gizmodo en Español, BioBioChile, FayerWayer, La Jornada México y Shattered.io. Las cifras técnicas (versiones de PHP, puntuaciones CVE, número de servidores expuestos) provienen de los informes de la PHP Foundation, Censys y Wiz citados en esas fuentes. La información sobre el estado de Colombia estaba en desarrollo al momento del cierre de este artículo. Se recomienda verificar en colcert.gov.co para actualizaciones locales.
Isabel escribe con los cinco sentidos. Sus recetas no solo se leen, se imaginan, se sienten y se desean preparar. Como nutricionista y apasionada de la cocina funcional, convierte ingredientes comunes en platos extraordinarios, combinando saber ancestral y ciencia moderna.
