Fallas críticas en PHP: la IA ayudó a hallar dos errores que ponen en riesgo a sitios web de todo el mundo
Fallas críticas en PHP, bautizadas PHP2Shell, permiten tomar el control de un servidor sin contraseña. PHP publicó los parches el 21 de octubre de 2026.
Fallas críticas en PHP, bautizadas PHP2Shell, permiten tomar el control de un servidor sin contraseña. PHP publicó los parches el 21 de octubre de 2026.
Fallas críticas en PHP, el lenguaje que hace funcionar a WordPress, Drupal y Joomla, obligan a actualizar servidores. El proyecto PHP publicó el 21 de octubre de 2026 los parches para dos vulnerabilidades graves. El conjunto se conoce como PHP2Shell.
Los dos errores se registraron como CVE-2026-109618 y CVE-2026-109619. Ambos tienen gravedad crítica: 9,2 sobre 10 en la escala CVSS v4. Según el aviso de seguridad de PHP, pueden permitir la ejecución remota de código sin autenticación. En otras palabras, un atacante podría tomar el control de un servidor con solo enviarle pedidos web.
Qué son las fallas críticas en PHP
Las fallas son errores de seguridad de memoria. Aparecen cuando PHP se queda sin memoria mientras prepara los datos de un pedido web. En ese caso, el pedido puede quedar cortado con información a medio armar. Después, la limpieza interna trata esos datos inválidos como si fueran correctos.
Por eso, el problema está en el motor de PHP y no en cada sitio. Según los investigadores de Wiz Research, que informaron las fallas, un sitio con código impecable también es vulnerable si usa una versión afectada. Wiz demostró cadenas de ataque sin contraseña contra WordPress, Drupal y Joomla.
El aviso de PHP indica que el riesgo es mayor con Apache y mod_php, donde hay un exploit demostrado. Para el servidor PHP-FPM, el análisis del código sugiere que también podría ser vulnerable, aunque no se demostró un ataque completo.
El papel de la IA en las fallas de PHP
Wiz informó que usó su sistema Wiz Atlas y los modelos Gemini 4 Argon y GPT-5.6 Sol. Según la empresa, Gemini 4 Argon tuvo un papel importante en el hallazgo, en el desarrollo del exploit y en la validación del parche.
Wiz sostiene que el código vulnerable llevaba más de una década en PHP. Además, afirma que la IA redujo el trabajo necesario para convertir esos errores en ataques reales. Según su informe, un solo investigador completó en una semana lo que antes habría llevado meses a un equipo de primer nivel.
Cabe señalar que ese rol de la IA es la lectura de Wiz, que es parte interesada. El aviso oficial de PHP no detalla cómo se hallaron los errores.
Cómo actualizar PHP y protegerse
La única solución completa es actualizar. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las ramas 8.1 y anteriores ya no reciben actualizaciones del proyecto. Para quienes compilan desde el código fuente, el equipo de seguridad publicó parches mínimos para PHP 7.4, 8.0 y 8.1. Algunos proveedores de hosting y de soporte LTS también ofrecen correcciones propias.
Quien administre un sitio propio puede tomar estas medidas:
- Consultar con el proveedor de hosting qué versión de PHP corre y si ya aplicó el parche.
- Tener en cuenta que actualizar WordPress, Drupal o Joomla no alcanza: lo que hay que actualizar es PHP.
- Si no se puede parchear de inmediato, PHP propone medidas parciales, como limitar el tamaño de los pedidos con
post_max_size. - Por otro lado, para el segundo error el aviso recomienda desactivar
session.upload_progress.enabled.
PHP aclara que esas medidas solo reducen la exposición y no hacen segura la instalación. Wiz también aconseja revisar los registros: pedidos multipart inusuales seguidos de errores de memoria, errores HTTP 500 repetidos y cookies de sesión anormalmente grandes.
Cronología de las fallas en PHP
Según Wiz, el primer hallazgo fue el 19 de agosto de 2026 y el reporte al equipo de seguridad de PHP, el 24 de agosto. El 21 de septiembre PHP confirmó los reportes y empezó a trabajar en la solución. Los parches y la divulgación pública llegaron el 21 de octubre.
Los detalles completos están en el aviso oficial de PHP y en el informe de Wiz Research.
Más noticias de Tecnología en MonoLito.
Leé también: Reciclaje de baterías de litio: el CONICET prueba cómo recuperar sus metales