Qué es PHP2Shell

PHP2Shell es el nombre de dos vulnerabilidades críticas en el núcleo de PHP, registradas como CVE-2026-109618 y CVE-2026-109619, con un puntaje de gravedad de 9,2 sobre 10 (CVSS 4.0). En ciertas condiciones, permiten que alguien de afuera ejecute código en el servidor de una web sin usuario, sin contraseña y sin que nadie haga clic en nada.

PHP es el lenguaje que corre en el servidor, la computadora donde vive una web. Según los datos que citan Axios y La Ecuación Digital, está en cerca del 70% de las webs cuyo lenguaje de servidor se puede identificar. WordPress, Drupal, Joomla y MediaWiki (el software de Wikipedia) funcionan sobre PHP, igual que muchas tiendas online, bancos y medios.

Qué podía hacer un atacante

Ejecutar código en el servidor significa que el servidor obedece instrucciones que elige otra persona. Con ese control, un atacante podría robar datos, cambiar el contenido de la web o tomar el sitio entero, según la advertencia de la NSA, el FBI y CISA.

Un ejemplo para bajarlo a tierra, que no corresponde a un caso reportado: en una tienda online, alguien con ese acceso podría reemplazar la página de pago por una copia y quedarse con los datos de la tarjeta de cada cliente. El sitio se vería igual que siempre.

Wiz mostró además otra parte del problema: sin iniciar sesión, pudo leer de la memoria del servidor contraseñas, tokens y claves de API de otras visitas. Por eso los clientes de una web vulnerable también quedan expuestos, aunque nunca hayan escuchado hablar de PHP.

Cómo se encontró: un investigador, una IA y un problema trabado desde 2024

El código afectado tiene más de diez años. Wiz indica que todas las versiones de PHP de la última década tienen al menos una de las dos fallas, y Calif rastrea el origen hasta PHP 5.4.

En 2024, una auditoría externa del núcleo de PHP, financiada por la Sovereign Tech Agency de Alemania y hecha por Quarkslab, dejó 27 hallazgos. Mientras se corregían, un desarrollador de la PHP Foundation vio las primeras señales del problema de memoria. Nadie pudo demostrar cómo explotarlo de forma remota y cada arreglo propuesto rompía otra cosa, así que el trabajo se trabó.

La propia PHP Foundation lo describe como "una falla estructural".

En 2026 eso cambió:

El detalle que más nos interesa: la IA no hizo el trabajo sola. Austin eligió dónde buscar, armó la hipótesis con lo que sabía de fallas viejas de PHP y juzgó los resultados.

La IA rastreó código y probó caminos. Wiz describe el ataque final como "una cadena de pasos excepcionalmente compleja, al límite de lo que un investigador humano podría lograr en la práctica", y dice que los modelos bajaron esa barrera.

Por qué tantas webs se apagaron

El mismo 21 de octubre, la NSA, el FBI y CISA pidieron instalar el arreglo y, si no se podía actualizar rápido, desconectar el sistema hasta resolverlo. La primera ministra de Japón, Sanae Takaichi, avisó por X antes de que saliera el parche y sugirió suspender servicios si hacía falta.

Por eso se vieron apagones preventivos en sitios de gobierno de Francia, Dinamarca, Finlandia y Países Bajos (incluida la agencia de ciberseguridad neerlandesa), en la aerolínea ANA, en JR West, en el banco MUFG y en algunos sistemas de Wikimedia, según ABC7.

Al 23 de octubre hay intentos de explotación en todo el mundo (Cloudflare habla de millones), pero las fuentes consultadas por La Ecuación Digital todavía no confirmaron una ola de intrusiones exitosas.

Qué es "Black October"

Black October es el apodo que se popularizó en redes para la semana del 19 al 22 de octubre de 2026, cuando se conocieron PHP2Shell y otros incidentes de seguridad.

En la misma bolsa entraron casos distintos: ataques con agentes de IA contra al menos nueve bancos de Corea del Sur, un operador que con la plataforma Cairn entró a más de 100 webs de empresas por unos 50 dólares por intrusión, y una versión adulterada de la librería de IA LiteLLM que robaba credenciales y se descargó unas 49.000 veces.

Según SecurityToday, muchos de esos ataques venían de meses atrás. Lo que se ve es un cambio de velocidad: agentes que trabajan horas sin supervisión y personas solas que escalan campañas que antes necesitaban un equipo.

Qué hacer si tenés una web

1. Preguntale hoy a tu hosting o a quien te maneja la web si ya actualizó PHP. El arreglo va en el servidor. WordPress.org fue explícito: "No WordPress update is required or planned for these issues".

2. Revisá tu versión de PHP. En WordPress está en Herramientas › Salud del sitio › Información › Servidor. También la muestra el panel de tu hosting.

3. Confirmá que sea una versión con arreglo. Las versiones corregidas son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. De la 7.4 a la 8.1 no hay versión oficial, y antes de la 7.4 no hay arreglo del proyecto PHP.

4. Si tu versión es anterior a 8.2, planificá la migración. Mientras tanto, pedile a tu hosting que confirme si aplicó parches propios o reglas de firewall (WAF).

5. Si no se puede actualizar rápido, considerá sacar la web de línea un rato. Es la recomendación de la NSA, el FBI y el NCSC.

6. Cambiá las claves guardadas en ese servidor. Si tu web conecta herramientas de IA, pasarelas de pago u otros servicios con claves de API, rotalas después de actualizar. Wiz mostró que se podían leer de la memoria.

7. Activá un gestor de contraseñas y doble factor en los paneles de administración. No arregla PHP2Shell, pero limita el daño si alguna credencial se filtró.

   
   

Esta historia tiene dos caras y conviene mirar las dos. La IA ayudó a destrabar en días un problema que el equipo de PHP no pudo resolver en dos años, y esta vez llegó antes que los atacantes. Pero la misma combinación (alguien que sabe mucho más un modelo que hace el trabajo pesado) está disponible para cualquiera.

Para una empresa, el riesgo práctico está en el tiempo que pasa entre que se publica un arreglo y que alguien lo instala. Ese tiempo depende de saber qué software corre en tu web, quién se encarga de actualizarlo y cuánto tarda en decidir. Ninguna de esas tres cosas necesita IA. Necesita que alguien tenga la respuesta escrita antes de la próxima alerta.

Preguntas frecuentes

• ¿Qué es PHP2Shell? Es el nombre de dos vulnerabilidades críticas en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619) publicadas el 21 de octubre de 2026. Permiten, en ciertas condiciones, ejecutar código en un servidor sin autenticación.

• ¿Mi web en WordPress está afectada? Si tu servidor corre una versión de PHP sin arreglo, sí puede estarlo. La falla está en PHP, no en WordPress, así que actualizar WordPress o los plugins no la resuelve. Hay que actualizar PHP en el servidor.

• ¿Qué versiones de PHP tienen el arreglo? 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones anteriores a 8.2 no reciben versión oficial del proyecto PHP.

• ¿Quién encontró la falla? Investigadores de Calif y de Wiz, cada uno por su lado, con ayuda de modelos de IA. OpenAI coordinó parte del trabajo a través de su programa Patch the Planet.

• ¿Qué es Black October? Un apodo de redes para la semana del 19 al 22 de octubre de 2026, cuando se conocieron PHP2Shell y otros incidentes de seguridad. No es un nombre oficial y varios de los casos venían de meses atrás.

• ¿Ya hubo webs hackeadas por PHP2Shell? Hay intentos de explotación en todo el mundo desde el 17 de octubre. Al 23 de octubre de 2026 no se había confirmado una ola de intrusiones exitosas.