Vamos a cerrar la semana con una noticia que no nos es del todo propia, pero tampoco ajena, que ha dado mucho de qué hablar en los últimos días y que no parece dispuesta a desaparecer de la primera plana tan rápido: PHP2Shell, el fallo de seguridad de PHP que ha dado la vuelta al mundo, y es que hablamos de uno de los lenguajes de programación web más extendidos.
En resumidas cuentas, PHP2Shell es el nombre de una alerta de seguridad que afecta al motor de PHP y, por extensión, a los servidores que utilizan este lenguaje para ejecutar CMS tan populares como WordPress, Drupal o MediaWiki. El problema comenzó con dos vulnerabilidades críticas que, en determinadas condiciones, permiten ejecutar código de forma remota sin autenticación, y ahora se suma una tercera relacionada. Es decir, nada que ver con el típico «agujero superpeligroso» que precisa de acceso físico al sistema.
Sí, he dicho tres, aunque si has seguido la noticia, quizás hayas leído solo de dos vulnerabilidades: identificadas como CVE-2026-109618 y CVE-2026-109619, ambas están relacionadas con errores en la gestión de memoria y tienen una gravedad de 9,2 sobre 10. El riesgo es especialmente elevado en Apache con mod_php, aunque otras configuraciones también están expuestas.
Las dos cuentan con correcciones desde el 21 de octubre, cuando se publicaron PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. En Linux, conviene consultar los avisos de la distribución, ya que puede incorporar los parches a versiones anteriores. Actualizar WordPress o sus extensiones no resuelve el problema: hay que actualizar PHP.
La novedad de este 23 de octubre es CVE-2026-115560, un tercer fallo que afecta también a versiones ya parcheadas, pero requiere una combinación poco habitual de configuración y código de la aplicación. PHP considera improbable ese escenario y lo corregirá en su próximo ciclo ordinario. Mientras tanto, recomienda desactivar el seguimiento del progreso de las subidas, como ya se indicaba en el aviso anterior.
Por otro lado, Amazon ha detectado intentos de explotación de PHP2Shell en sus servidores señuelo desde el 17 de octubre, antes de la divulgación pública. La compañía desconoce cómo se obtuvo la información y no ha determinado si esos intentos habrían funcionado contra sistemas reales.
Podríamos despachar el asunto asumiendo que, por muy grave que sea el fallo, no deja de ser otra vulnerabilidad más, pero lo cierto es que solo la noticia, sin entrar en detalles técnicos, tiene mucha miga: la investigación ha contado con ayuda de la IA, ha tenido un efecto tan enorme que incluso ha contribuido a impulsar la cotización de empresas de ciberseguridad y no importa que se haya adelantado la publicación de los parches, porque no deja de ser un aviso a navegantes.
