Dos vulnerabilidades críticas en el lenguaje de programación PHP han encendido las alarmas en el ámbito de la ciberseguridad. Identificadas como CVE-2026-109618 y CVE-2026-109619, y denominadas PHP2shell, estas brechas podrían permitir a un atacante ejecutar código de forma remota en servidores vulnerables sin necesidad de autenticarse previamente. El riesgo es especialmente relevante por la amplia presencia de PHP en Internet, donde este lenguaje se utiliza para desarrollar y mantener millones de sitios web y aplicaciones.
La gravedad de los fallos, según la información facilitada, alcanza los 9,2 puntos sobre 10. Las instalaciones afectadas podrían quedar expuestas a ataques capaces de comprometer el servidor y ejecutar código malicioso. El problema adquiere mayor dimensión porque las vulnerabilidades se encuentran en el intérprete de PHP, el componente que procesa las solicitudes antes de que intervenga la aplicación web. Por tanto, las medidas de protección aplicadas exclusivamente en el ámbito de las aplicaciones no bastan para resolver el problema.
Índice de temas
El alcance del problema
El alcance potencial es considerable. Según los datos citados por Pandora FMS, WordPress, una de las plataformas que utiliza PHP, está presente en el 42,6% de todas las webs del mundo. A este ecosistema se suman tiendas online, aplicaciones corporativas y otros servicios desarrollados con este lenguaje. Esto no significa que todos esos sitios sean vulnerables, pero sí que la cantidad de sistemas que las organizaciones deben revisar puede ser muy elevada.
El Instituto Nacional de Ciberseguridad (INCIBE) ha publicado información sobre las vulnerabilidades y las medidas para abordarlas. En este escenario, la prioridad es identificar los sistemas afectados, instalar las actualizaciones correspondientes y comprobar si se han producido accesos o actividades sospechosas.
La IA descubre fallos que llevaban años ocultos
Uno de los aspectos más relevantes del caso es el papel de la inteligencia artificial en la identificación de vulnerabilidades. Según Carlos Castañeda-Marroquín, director de soluciones e innovación de Integrity360 en España, uno de los fallos subyacentes se remontaría a 2004 y no habría sido identificado hasta la realización de análisis asistidos por IA. «Esto demuestra cómo las nuevas tecnologías pueden detectar vulnerabilidades que han permanecido ocultas durante décadas», señala el directivo.
Castañeda-Marroquín advierte de que las instalaciones de Apache que utilizan mod_php están especialmente expuestas y apunta a la existencia de pruebas de concepto que demuestran la viabilidad de la explotación. En su opinión, la solución definitiva pasa por aplicar las actualizaciones de seguridad, mientras que las organizaciones que no puedan parchear inmediatamente sus sistemas deberían valorar la desconexión temporal de los servicios expuestos a internet.
El trabajo no termina con la instalación de las actualizaciones. Las empresas también deben investigar si sus sistemas han sido comprometidos, prestando atención a indicios como la ejecución inesperada de comandos en el servidor o las conexiones salientes sospechosas desde aplicaciones web.
El directivo de Integrity360 establece un paralelismo con Log4Shell, la vulnerabilidad que afectó a la biblioteca de registro Log4j y puso de manifiesto las dificultades para localizar componentes vulnerables integrados en productos de terceros.
«Uno de los principales retos será identificar dónde está integrado el software vulnerable en aplicaciones de terceros», explica. Por ello, recomienda colaborar con los proveedores para determinar qué productos están afectados y confirmar qué medidas correctivas se han adoptado. La exposición, recuerda, no se limita a los sistemas que las organizaciones gestionan directamente.
El reto de localizar y parchear los sistemas afectados
La respuesta a este tipo de incidentes depende tanto de la disponibilidad de parches como de la capacidad de las empresas para conocer su propia infraestructura tecnológica.
Sancho Lerena, CEO de la tecnológica española Pandora FMS y experto en gestión de TI y seguridad, considera que las vulnerabilidades de PHP anticipan un cambio en los tiempos de respuesta que exigirán los incidentes de ciberseguridad.
«Este caso no es una excepción, es un anticipo de lo que viene», advierte. El directivo sostiene que la automatización basada en inteligencia artificial está reduciendo drásticamente el tiempo que transcurre entre la divulgación de una vulnerabilidad y su explotación a gran escala.
«La automatización con IA reduce a minutos el tiempo entre que se conoce una vulnerabilidad y se explota de forma masiva. Preguntarse cómo evitarlo ya no sirve, porque no se puede evitar. La pregunta correcta es cómo lidiar con ello, cuánto se tarda en saber qué sistemas hay afectados y cuánto se tarda en parchearlos», señala.
Su reflexión apunta a uno de los principales problemas a los que se enfrentan los departamentos de TI: la velocidad de reacción. La capacidad de una organización para responder a una vulnerabilidad no depende únicamente de que exista una actualización, sino también de que pueda localizar los sistemas afectados, evaluar su exposición y desplegar la corrección antes de que los atacantes aprovechen el fallo.
Lerena advierte de que muchas organizaciones carecen de un inventario actualizado que permita identificar qué servidores ejecutan PHP, qué versiones utilizan, de dónde proceden las instalaciones y cuáles están accesibles desde Internet.
El problema puede encontrarse en sistemas que han quedado fuera de los procedimientos habituales de mantenimiento: páginas web olvidadas, entornos de pruebas, herramientas internas publicadas en subdominios o aplicaciones de terceros que incorporan componentes PHP.
Esta falta de visibilidad dificulta la priorización de las medidas correctivas. Una empresa puede actualizar sus principales servidores y, aun así, mantener instalaciones vulnerables que desconoce. Por ello, además de aplicar los parches oficiales, resulta necesario revisar el inventario tecnológico, comprobar las versiones desplegadas y determinar qué servicios pueden ser accesibles desde el exterior.
Las versiones antiguas añaden otra dificultad. Los sistemas que han dejado de recibir soporte pueden no disponer de actualizaciones oficiales, lo que obliga a valorar su migración, sustitución o aislamiento para reducir el riesgo.
La IA también aumenta la presión sobre los equipos de TI
La detección de fallos mediante inteligencia artificial introduce un nuevo desafío para los responsables de tecnología. Si estas herramientas permiten localizar vulnerabilidades con mayor rapidez, las organizaciones tendrán que responder a un volumen creciente de avisos, evaluar su gravedad y aplicar las correcciones sin comprometer la disponibilidad de los servicios.
David Sanz, senior director sales engineering de Commvault en el sur de Europa y en Latinoamérica, considera que esta evolución obliga a revisar las estrategias de ciberseguridad y continuidad del negocio. «La IA ayudará a que el software sea más seguro, pero al principio hará que la TI sea menos segura. Las vulnerabilidades críticas de PHP ilustran el porqué: la IA saca a la luz fallos en servicios fundamentales que dejan vulnerables a millones de sistemas en todo el mundo, por muy sólidas que sean sus defensas», señala.
El directivo advierte de que los departamentos de TI tendrán que gestionar una carga de trabajo creciente. Cada nueva vulnerabilidad exige analizar qué sistemas están afectados, comprobar la disponibilidad de actualizaciones, probarlas y desplegarlas. En un contexto de recursos limitados, esta acumulación puede obligar a posponer algunas intervenciones mientras se atienden los incidentes más graves. «Una posible consecuencia es que algunas vulnerabilidades se acepten temporalmente porque otras son más graves y hay que solucionarlas primero», explica Sanz.
Esta situación refuerza la importancia de establecer criterios de priorización que tengan en cuenta la gravedad de cada fallo, la exposición de los sistemas, la existencia de mecanismos de explotación y el impacto potencial sobre el negocio.
De la prevención a la recuperación
Las vulnerabilidades de PHP ponen también de relieve los límites de las estrategias de seguridad centradas exclusivamente en impedir los ataques. Aunque la aplicación de parches y la reducción de la superficie de exposición son medidas prioritarias, las organizaciones deben contemplar la posibilidad de que un atacante consiga superar sus defensas.
En ese escenario, la capacidad para detectar una intrusión, contenerla y recuperar los servicios resulta determinante. Las empresas necesitan procedimientos de respuesta a incidentes, mecanismos de recuperación probados y copias de seguridad que permitan restablecer los sistemas afectados.
La combinación de inventario tecnológico, gestión de vulnerabilidades, monitorización y recuperación puede reducir el impacto de un ataque, aunque no elimina por sí sola el riesgo de explotación.
La ciberseguridad en tiempos de la IA
El caso de PHP2shell refleja así una doble transformación en la ciberseguridad. Por un lado, las herramientas de inteligencia artificial están ampliando las posibilidades de detectar defectos en componentes de software que llevan años en producción. Por otro, esa misma capacidad obliga a las empresas a acortar los tiempos de respuesta y a mejorar la visibilidad sobre sus infraestructuras.
La cuestión ya no es únicamente cuántas vulnerabilidades pueden descubrirse, sino si las organizaciones serán capaces de identificar a tiempo los sistemas afectados, corregir los fallos prioritarios y mantener su actividad cuando las medidas preventivas no sean suficientes.
