EN 30 SEGUNDOS
- ¿Qué ha pasado? La Fundación PHP ha confirmado un fallo crítico bautizado como PHP2Shell y registrado con dos identificadores, CVE-2026-109618 y CVE-2026-109619, capaz de entregar a un atacante el control de cualquier web construida sobre PHP. El parche se publica este jueves 22 de octubre tras dos meses de trabajo bajo embargo.
- ¿Quién está detrás? El equipo que mantiene el lenguaje, una firma de seguridad estadounidense que empleó uno de los modelos más avanzados de OpenAI para localizar la grieta y la empresa Chainguard, que filtró la noticia horas antes del anuncio.
- ¿Qué impacto tiene? PHP sostiene hasta el 70% de los sitios web del mundo, entre ellos comercios electrónicos, bancos y servicios públicos. En España, la exposición afecta a pymes, tiendas online y portales de la administración que no hayan aplicado la actualización.
La vulnerabilidad PHP2Shell, hallada con inteligencia artificial, expone al 70% de la web mundial al control remoto por parte de un atacante.
Qué es PHP2Shell y por qué el fallo llevaba una década dormido
El lenguaje PHP es el motor de programación que sostiene buena parte de internet: hasta el 70% de los sitios web del planeta, según los cálculos que maneja la Fundación PHP y que adelantó el Wall Street Journal. Este miércoles, la organización sin ánimo de lucro que lo mantiene confirmó lo que llevaba semanas circulando en foros cerrados: una vulnerabilidad crítica, bautizada PHP2Shell y registrada como CVE-2026-109618 y CVE-2026-109619, que permitiría a un atacante tomar el control de cualquier web construida sobre este software.
La historia tiene una vuelta de tuerca. Un investigador de seguridad ya había señalado esa grieta décadas atrás, pero la comunidad la descartó entonces porque explotarla parecía demasiado complejo. El error quedó enterrado en el código. A eso se suma un detalle incómodo: el fallo más grave que ha enfrentado PHP en más de una década no lo ha encontrado una persona.
Lo ha encontrado una máquina. Una firma de seguridad estadounidense utilizó uno de los modelos más avanzados de OpenAI para peinar el código fuente y localizar la grieta. Los investigadores lo describen como el fallo de seguridad más severo jamás detectado por inteligencia artificial. Ahí está la paradoja: la misma herramienta que ha permitido encontrarlo sirve para construir el exploit. Lo que a un analista humano le habría costado meses de auditoría, a un modelo entrenado le lleva una tarde.
La filtración de Chainguard y una carrera de 10.000 líneas de código
Desde agosto, un grupo reducido de desarrolladores trabajaba en silencio. Cerca de 200 archivos modificados. Más de 10.000 líneas de código escritas a contrarreloj para cerrar la puerta antes del jueves 22 de octubre. El plan era quirúrgico: parche en mano para las distribuidoras, aviso coordinado y publicación simultánea.
El calendario se rompió el martes. Chainguard, una de las distribuidoras que había recibido el parche por adelantado para que sus clientes pudieran actualizar en el segundo cero, adelantó la noticia. ‘Cualquier atacante podía ahora estudiar la corrección en formato binario mientras el resto de usuarios de PHP seguía esperando la publicación’, lamentó la fundación, que habló de desprecio a semanas de trabajo ajeno. La advertencia al mundo llegó el miércoles. La actualización, este jueves.
Un fallo que estuvo una década escondido a los ojos humanos lo ha encontrado una máquina en una tarde. Esa máquina está ahora al alcance de cualquiera.
La Lógica de Washington
A Washington este fallo le importa por una razón muy concreta. PHP no es el producto de ninguna empresa: es software libre que sostiene infraestructuras críticas —banca, sanidad, administraciones, cadenas de suministro— y que mantiene un puñado de voluntarios con presupuesto de ONG. Ese desajuste entre riesgo sistémico y recursos disponibles lleva una década sobre la mesa.
El precedente más claro es Log4Shell, la grieta descubierta en diciembre de 2021 en una librería de Java que casi nadie sabía que existía y que obligó a improvisar parches en medio mundo. De aquel episodio salió la Junta de Revisión de Seguridad Cibernética (el organismo creado por el Gobierno federal para auditar fallos de alcance masivo) y una batería de directrices del NIST sobre la cadena de suministro del software.
La lógica de la Casa Blanca en este terreno ha sido mixta: presión indirecta sobre el sector y exigencia directa a sus propios proveedores. En lugar de legislar qué debe ocurrir con el código abierto, la agencia de ciberseguridad del Departamento de Seguridad Nacional publica guías, financia auditorías de proyectos críticos y obliga a sus contratistas a garantizar mantenimiento. La doctrina ha sobrevivido a administraciones de los dos partidos por una razón sencilla: no enfrenta a nadie. Ni a una industria que no quiere cuotas de responsabilidad legal, ni a un contribuyente que no quiere pagar dos veces por el mismo programa.
El aterrizaje en España es directo. Buena parte de las webs corporativas de las pymes, los comercios electrónicos y las plataformas de gestión corren sobre PHP, igual que una porción enorme de los gestores de contenido que las alimentan. El INCIBE y el CCN-CERT son los organismos llamados a emitir las alertas internas, y la ventana de exposición real se mide en horas.
A eso se suma el problema reputacional de los proveedores de hosting, que tendrán que explicar a a sus clientes por qué no aplicaron el parche cuando estaba disponible. La proyección tampoco es cómoda: los catálogos de vulnerabilidades del NIST tardarán en reflejar el alcance completo, y los plazos que la CISA impone a las agencias federales para fallos críticos se cuentan en días, no en meses.
Ficha del Caso
- El caso: Un modelo de OpenAI localizó en agosto una grieta en PHP, el lenguaje que sostiene hasta el 70% de la web. La Fundación PHP ha coordinado un parche masivo que se publica este jueves tras una filtración.
- Datos clave: CVE-2026-109618 y CVE-2026-109619; cerca de 200 archivos modificados y más de 10.000 líneas de código; publicación fijada para el 22 de octubre de 2026; el fallo llevaba décadas detectado pero descartado por su complejidad.
- Para España: pymes, comercio electrónico y portales públicos que operen sobre PHP deben aplicar la actualización de inmediato y revisar registros; INCIBE y CCN-CERT son la referencia para las alertas oficiales.
