La vulnerabilidad PHP2Shell permite la ejecución remota de código en millones de sitios web. La PHP Foundation lanzó parches urgentes, pero las actualizaciones siguen siendo un desafío. La corrección se publicó el 21 de octubre de 2026.
La vulnerabilidad PHP2Shell permite la ejecución remota de código en servidores PHP y afecta a las versiones 8.2 a 8.5 que no habían recibido parches hasta el 30 de octubre de 2026. La PHP Foundation lanzó parches urgentes para corregir dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Las correcciones están disponibles en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 de PHP. Los hackers ya están explotando las fallas, lo que ha llevado a algunas grandes empresas a desconectar temporalmente sus sitios web. Francia se encuentra entre los países más afectados, con 2 millones de servicios sin actualizar. La CISA incluyó las vulnerabilidades en su catálogo KEV y animó a actualizar de forma urgente.
La vulnerabilidad se reportó en 2024 y fue explotada por un equipo de California con ayuda de IA. La actualización depende de la versión de PHP y de la disponibilidad de los parches en Brasil, que no se ha confirmado. La información fue revelada por fuentes como Failles PHP, PHP Foundation y CISA.
PHP enfrenta críticas por su demora en corregir fallas
La vulnerabilidad PHP2Shell surgió en un escenario de tensión creciente en la seguridad de los servidores web. La empresa advirtió que la corrección requería una combinación específica de configuraciones y código de aplicación, lo que dificultó su rápida implementación. Según Failles PHP, 29,6 millones de servicios PHP seguían expuestos el 30 de octubre, incluso después de la publicación de los parches. La situación refleja un desafío global: aun con la divulgación de parches, muchos servidores siguen sin actualizarse. La CISA también alertó sobre el riesgo y reforzó la necesidad de actuar con urgencia.
La vulnerabilidad no fue solo un hallazgo aislado: PHP ya había advertido sobre una tercera falla, pero no priorizó su corrección, lo que generó críticas. La lentitud en la respuesta de PHP evidencia la complejidad de mantener seguros los sistemas de código abierto a gran escala. La vulnerabilidad fue identificada en 2024 y explotada por un equipo de Calif con ayuda de IA, y afecta a millones de sitios web en todo el mundo.
Con información de wired.com, next.ink y techradar.com.
Fuentes
- This is not a drill 2 php vulnerabilities are setting the internet on firewired.com
- Failles php2shell on a scanne tout le fr 250 000 sites affichent un php vulnerablenext.ink
- Php releases emergency fixes as some of the worlds biggest websites say they were targeted by hackerstechradar.com
- Failles php onze jours apres pres de 30 millions de sites et services web toujours vulnerables01net.com
- Ai in cybersecurity php2shell vulnerabilityspectrum.ieee.org
Texto escrito con IA a partir de las fuentes citadas y revisado por las reglas automáticas de la redacción. Cómo trabajamos
¿Quieres ver resumer primero en las búsquedas de Google?
Añadir a las fuentes preferidas de Google
