Qué es PHP y PHP2Shell, cuál es el papel de la IA en todo esto y cuánto tiempo tardará en solucionarse una de las mayores crisis de seguridad en la historia de internet
Elígenos como tu fuente preferida en Google.
PHP2Shell es el nombre con el que se han bautizado conjuntamente 2 vulnerabilidades críticas que afectan a PHP, el lenguaje de programación detrás de casi el 70% de la web.
PHP es uno de los lenguajes de programación más importantes del mundo, ya que sobre él está basado prácticamente el 69% de toda la web en la actualidad, por ejemplo, con nombre como WordPress, Laravel, Drupal, Magento o Joomla. Por tanto, si internet fuera un bloque de edificios, PHP serían los pilares clave que lo sostienen en pie.
Con PHP2Shell, una de las vulnerabilidades más importantes registradas en la historia de internet, básicamente estos mismos cimientos han afectado a millones de páginas web en todo el mundo, así como a servicios gubernamentales críticos y empresas privadas, en tan solo cuestión de horas.
La alarma saltó al descubrirse 2 fallos críticos de ejecución remota de código, ambos bautizados en conjunto PHP2Shell –con los identificadores CVE-2026-109618 y CVE-2026-109619–, que tienen puntuaciones de gravedad realmente altas en la escala que mide este tipo de vulnerabilidades, CVSS, y que afecta a las versiones de PHP que van desde la 5.4 hasta la 8.5.
El fallo técnico, como tal, está centrado en cómo se gestionan algunos estado internos de solicitudes y memoria en los procesos de trabajo, y en la práctica permite que los atacantes puedan enviar peticiones maliciosas con el objetivo de controlar los servidores afectados, instalar puertas traseras o directamente realizar saltos hacia otros sistemas conectados.
Y una de las cuestiones más importantes en todo este lío con PHP2Shell ha sido la inteligencia artificial, que ha sido la principal baza de los equipos de seguridad para poder hacer frente a una vulnerabilidad crítica como esta.
El papel de la IA
Aunque algunos errores se descubren por casualidad o por un trabajo que suele llevar meses de investigación, en este caso, PHP2Shell ha sido descubierto por agencias de ciberseguridad independientes que han usado modelos avanzado de lenguaje y han investigado código a gran escala mediante el análisis automatizado.
En este sentido, la IA ha sido el motor principal para poder auditar millones de líneas de código fuente heredado y localizar anomalías que anteriormente habían pasado ocultas o desapercibidas para los humanos en los últimos 15 años.
Con ello, lo más lógico es pensar en que, si en este caso ha sido la gran defensora, la IA también puede ayudar a que los ciberdelincuentes encuentren estos mismos errores en un tiempo muy corto, a gran velocidad y, por supuesto, que los exploten fácilmente y de forma automatizada.
Ante este desafortunado evento, numerosas agencias gubernamentales de Europa, sistemas de educación, plataformas de contenido o muchísimos foros que tienen gran cantidad de usuarios han optado directamente por desconectar totalmente los servicios o, en su defecto aplicar un cortafuegos de emergencia mediante Web Application Firewall (WAF).
Esto se debe mayormente a que, a diferencia de otros fallos comunes en complementos de CMS, aquí actualizar WordPress o Drupal no sirve para absolutamente nada, debido a que el problema se encuentra en el centro del lenguaje.
Cuánto tardará en solucionarse este problema
De momento, los mantenedores de PHP han lanzado parches críticos para versiones con soporte oficial 8.2, 8.3, 8.4 y 8.5; no obstante, hay una gran cantidad de servidores que aún usan versiones antiguas u obsoletas, como PHP 7.4 o PHP 8.1, y que ya no cuenta con soporte oficial.
Por otro lado, la resolución de este problema dependerá de 2 factores, como la respuesta técnica más mediata o la dificultad operativa en el largo plazo. En el primer caso, los parches oficiales ya están disponibles y los principales paneles de control y distros de Linux ya han liberado estos paquetes. En los entornos mejor organizados, por tanto, aplicar esto supone horas.
Sin embargo, para la solución a largo plazo el tiempo necesario podrían ser semanas o meses, ya que hay una gran cantidad de servidores desatendidos con versiones desactualizadas de PHP y de los cuales sus administradores ni siquiera conocen su exposición.
Adicionalmente, la recuperación no simplemente requiere de aplicar los parches, sino que tendrá que llevar asociadas auditorías para descartar que cualquier atacante haya podido introducir previamente código malicioso.