¿Qué pasó?
El equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 con un mensaje poco habitual en su página principal: “vulnerabilidades críticas de ejecución remota de código, actualiza ya”. Las dos fallas, conocidas en conjunto como PHP2Shell, tienen una severidad de 9.2 sobre 10 (CVSS v4.0).
- CVE-2026-109618 — corrupción por falta de memoria. Cuando PHP se queda sin memoria a mitad de una operación, puede dejar datos de la petición a medio preparar; la limpieza posterior los trata como válidos.
- CVE-2026-109619 — estado “fantasma” entre peticiones. Parte del estado interno de una petición puede sobrevivir después de liberarse su memoria, y una petición posterior en el mismo proceso puede usarlo.
En términos simples: con una petición preparada a propósito, un atacante podría tomar el control del proceso de PHP. Y como bien advierte php.net, no hay una mitigación completa: actualizar es la única opción segura.
¿A quién afecta?
Según php.net, a todas las instalaciones de PHP que atienden peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo más alto está en Apache con mod_php, donde se demostró un ataque que se dispara antes de que se ejecute el código de tu aplicación.
El equipo de Wiz Research, uno de los que reportó las fallas, afirma que todas las versiones de PHP de la última década están afectadas por al menos una de ellas, y demostró ataques sin autenticación contra imágenes de WordPress, Drupal y Joomla. Además, incluso cuando un ataque no logra ejecutar código, la fuga de memoria puede exponer contraseñas, tokens o claves de API.
El papel de la inteligencia artificial
Esta es la parte que hace la noticia especialmente interesante. La PHP Foundation cuenta que la firma de seguridad Calif empezó a auditar PHP el 30 de julio y, el 11 de agosto, reportó una ejecución remota de código. OpenAI reportó de forma independiente el mismo origen ese mismo día, y Wiz aportó nuevas rutas de ataque el 24 de agosto. Wiz detalla que usó modelos de IA tanto para descubrir como para comprobar y adaptar los ataques, y la fundación agradece expresamente a OpenAI Codex Security.
Del otro lado, el equipo de PHP también usa IA para defenderse: herramientas para validar reportes y agrupar los que comparten la misma causa. Pero hay dos matices que vale la pena subrayar:
- La IA no lo hizo sola. Las primeras señales del problema las detectó en 2024 un desarrollador del núcleo de PHP mientras corregía otro hallazgo de una auditoría humana. La IA ayudó a demostrar que era explotable de verdad.
- La IA también genera ruido. El equipo revisó más de 100 reportes que resultaron inválidos, duplicados o imposibles de reproducir. En palabras de la fundación, la IA ayuda a validar, “pero una persona toma cada decisión y trabaja en cada parche”.
La lección es doble: la IA acelera el trabajo de quienes defienden, pero también el de quienes atacan. Los detalles se filtraron días antes de la publicación coordinada y, según Fortune, Cloudflare ya observó intentos de ataque tempranos. Por eso el tiempo de reacción importa.
Qué hacer hoy con tu sitio
- Revisa tu versión de PHP. En WordPress: Herramientas → Salud del sitio → Información → Servidor. También aparece en el panel de tu hosting.
- Actualiza a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o al paquete corregido de tu distribución. Si usas hosting compartido, pide a tu proveedor que confirme por escrito que ya aplicó el parche.
- No olvides los sitios de prueba (staging) y cualquier instalación vieja que siga en línea.
- ¿Usas PHP 8.1 o anterior? PHP ya no las actualiza. Pregunta a tu proveedor por parches retroportados o, mejor, migra a una versión con soporte. Toma en cuenta que PHP 8.2 deja de recibir soporte el 31 de diciembre de 2026.
- Si no puedes actualizar de inmediato y controlas el servidor: desactiva
session.upload_progress.enabled, limitapost_max_sizey reinicia los procesos de PHP. Ojo: según Patchstack, estos cambios no funcionan desdeini_set()ni desde.user.ini. Son medidas temporales, no una solución. - No instales “plugins de corrección” no oficiales ni pegues fragmentos de código de origen dudoso.
- Busca señales de ataque: errores repetidos por límite de memoria, muchos errores 500, cookies
PHPSESSIDanormalmente grandes o reinicios inexplicables de procesos. Si ves algo así, cambia contraseñas y claves de API.
Lo que nos deja
PHP2Shell confirma algo importante: la inteligencia artificial no viene a reemplazar a los equipos técnicos, viene a multiplicar lo que pueden hacer, para bien y para mal. Para quienes tenemos sitios y tiendas en línea, eso significa que el mantenimiento preventivo ya no es opcional: actualizar a tiempo, saber qué corre en tu servidor y tener a alguien pendiente cuando sale una alerta así.