PHP2Shell: qué es, quién decide y qué cambia para la región

El miércoles 21 de octubre el proyecto PHP publicó un parche y, según Cloudflare, en los 45 minutos siguientes ya había decenas de miles de intentos de ataque. En dos horas eran cientos de miles y esa misma noche, millones. Así de corto fue el margen para reaccionar.

Qué es PHP2Shell

PHP2Shell es el nombre que recibieron dos fallas en el propio motor de PHP, el lenguaje con el que están construidos WordPress, Drupal, Joomla y muchísimos portales institucionales. Están registradas como CVE-2026-109618 y CVE-2026-109619 y tienen una severidad de 9,2 sobre 10.

Lo grave es lo que permiten: ejecutar código en el servidor sin usuario ni contraseña. Afectan casi todas las versiones de la última década, desde la 5.4. Wiz demostró ataques contra WordPress, Drupal y Joomla, y advierte que incluso una página mínima sobre una versión afectada puede ser vulnerable. Palo Alto Networks cuenta 22,6 millones de instalaciones potencialmente expuestas.

Cómo las encontró la IA y qué tan rápido las explotaron

Esta parte me parece la más reveladora. La firma Calif encontró la primera falla el 1 de agosto usando un modelo de OpenAI. Wiz llegó a las dos por su cuenta el 19 de agosto, con modelos de Google y OpenAI y un agente propio, y lo resume así: un solo investigador hizo en una semana lo que antes le tomaba meses a un equipo de primer nivel.

El reporte llegó al proyecto PHP el 24 de agosto y el parche salió el 21 de octubre. Desde ese momento la carrera cambió de bando. AWS dice que la falla se está explotando de forma amplia, y la curva de Cloudflare sugiere que del otro lado también se trabaja con automatización.

Quién decide y qué dicen las reglas

La indicación oficial es sencilla de leer y difícil de ejecutar. PHP pidió actualizar ya a las versiones 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o sacar el sitio de línea hasta poder hacerlo. CISA pidió desconectar lo que no se pueda actualizar, en especial lo que corre PHP 8.1 o versiones sin soporte.

Varios gobiernos tomaron esa indicación al pie de la letra. Países Bajos y Finlandia apagaron sitios gubernamentales por precaución. En Costa Rica, el MICITT alertó a todas las instituciones públicas, con mensaje directo a directores, jefes de TI y enlaces de ciberseguridad. Eso es lo que debe hacer un CSIRT nacional: convertir una alerta global en una instrucción con nombre y fecha.

Qué cambia para empresas e instituciones de la región

Para una empresa o entidad pública de Centroamérica y el Caribe, PHP2Shell deja tres preguntas concretas, y ninguna es técnica. La primera es si sabe cuántos de sus sitios corren PHP y en qué versión. La segunda es si alguien tiene autoridad escrita para apagar un portal público sin esperar una reunión. La tercera es si existe un canal por donde una alerta como la del MICITT llegue en horas a quien puede actuar.

Dónde está la brecha

El parche existe desde el miércoles y es gratuito. La brecha que veo tiene más de gobernanza y de velocidad de decisión que de tecnología. Un CSIRT con mandato real, un inventario actualizado y una persona con autoridad firmada para desconectar un servicio resuelven más que cualquier herramienta nueva.

Y el reloj ya no lo marca quien defiende. Si la IA acorta de meses a una semana el tiempo para encontrar una falla así, las organizaciones que todavía necesitan tres firmas para apagar un sitio van a llegar tarde cada vez.

¿Quién tiene hoy esa autoridad en su institución?

Fuentes

Wiz: análisis técnico de PHP2Shell

Fortune: cómo la IA encontró la falla

CISA vía N+: alerta por ataques a sitios web

Delfino: alerta del MICITT a las instituciones de Costa Rica