AitopkitEl 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad de emergencia que corrigen dos vulnerabilidades críticas — CVE-2026-109618 y CVE-2026-109619, conocidas juntas como PHP2Shell — que permiten a un atacante ejecutar código de forma remota en un servidor afectado sin iniciar sesión. Ambas tienen una calificación de 9.2 sobre 10 de gravedad, y las versiones afectadas se remontan a PHP 5.4, publicado en 2012. Los parches llegaron en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35; PHP 8.1 y anteriores no reciben parche oficial.
La publicación se adelantó un día después de que detalles básicos de los fallos se filtraran en redes sociales el 20 de octubre. Los gobiernos desconectaron sitios web como precaución mientras aplicaban los parches — incluidos los sitios de prefecturas de Francia, el ministerio digital de Alemania, el parlamento holandés, el gobierno central de Finlandia y, en el Reino Unido, la Oficina de Responsabilidad Presupuestaria y NHS Scotland. La Agencia de Seguridad Nacional de EE. UU. emitió una rara advertencia pública aconsejando desconectar los sitios web si no podían actualizarse de inmediato. Un ingeniero de seguridad de PHP comparó PHP2Shell con Heartbleed, el fallo de 2014 que hizo correr a administradores de todo el mundo.
El ángulo de la IA es lo que lo convierte en un hito: los fallos pasaron más de una década sin detectarse y fueron encontrados con la ayuda de modelos de IA de frontera. Investigadores de la Fundación PHP habían identificado un fallo teórico en 2024 pero no pudieron descubrir cómo podría explotarse; después de que la fundación se uniera a la iniciativa 'Patch the Planet' de OpenAI en julio de 2026, investigadores de la firma de seguridad Calif reportaron el primer fallo el 11 de agosto usando GPT-5.6 Sol de OpenAI, y Wiz — una firma de seguridad propiedad de Alphabet — reportó el segundo el 24 de agosto usando modelos incluidos Gemini 4 Argon de Google. Los investigadores estiman que unos 1.3 millones de hosts conectados a internet podrían estar expuestos, y PHP impulsa alrededor del 70% de los sitios web cuyo lenguaje de servidor se conoce. La IA encontró los fallos rápido — y, como advierten las firmas de seguridad, puede convertirlos en ataques igual de rápido, por eso parchear ahora es la única opción segura.