Fallos críticos de PHP fuerzan sitios gubernamentales sin conexión antes de parche de emergencia

El equipo de desarrollo de PHP programó un lanzamiento de seguridad fuera del ciclo para las 14:00 UTC el 21 de octubre de 2026 para corregir dos vulnerabilidades críticas después de que los detalles se filtraran en línea un día antes, según The Hacker News y la firma de seguridad Sansec. Las fallas fueron rastreadas como CVE-2026-109618 y CVE-2026-109619 y fueron apodadas informalmente "PHP2Shell" por investigadores, un nombre que el propio equipo de PHP no adoptó, según The Hacker News.

Cuáles son las vulnerabilidades

Según el análisis técnico de Sansec, CVE-2026-109618 es un error de use-after-free en el manejo del progreso de carga de PHP que puede filtrar memoria del servidor —incluidas contraseñas, tokens de sesión y claves privadas TLS— a través de la cookie PHPSESSID, de una manera que la firma comparó con el error Heartbleed de 2014. CVE-2026-109619 es un error separado de use-after-free desencadenado cuando ocurre un error fatal durante el agotamiento de la memoria, combinado con confusión de tipos en OPcache de PHP, que Sansec dijo que permite la ejecución remota de código. Ambos errores se alcanzan a través de solicitudes multipart/form-data, el formato que las páginas web utilizan para cargas de archivos.

El Centro Nacional de Seguridad Cibernética (NCSC) del Reino Unido describió el riesgo en su asesoramiento del 21 de octubre como permitiendo a un atacante "ejecutar comandos en cualquier servidor web que ejecute PHP" sin necesidad de iniciar sesión, y clasificó el problema como crítico.

Por qué los gobiernos y las plataformas se desconectaron

Dado que PHP subyace en gran parte de la web, varias organizaciones optaron por cerrar los sitios públicos en lugar de esperar el parche. Techzine informó que los servicios gubernamentales holandeses, incluidos MijnOverheid, DigiD y sistemas parlamentarios, fueron desconectados temporalmente, y la historia de agencia de noticias llevada por KSL dijo que las agencias de seguridad cibernética en los Países Bajos y Finlandia retiraron los sitios gubernamentales como precaución. Techzine también informó que el NCSC del Reino Unido y la Agencia de Seguridad de Infraestructura y Cibernética de EE.UU. (CISA) emitieron alertas instando a los administradores a aplicar parches o desactivar los sistemas afectados, mientras que Wikipedia y Meta siguieron funcionando aplicando runtimes de PHP modificados y reglas de cortafuegos de aplicaciones web en lugar de desconectarse.

Sansec informó que el desarrollador principal de PHP Gina Peter Banyard describió desconectar servidores antes de que llegara el parche como la opción más sensata para las organizaciones que no podían aplicar una corrección inmediatamente — consejo que varios organismos holandeses siguieron.

Cloudflare dijo que comenzó a ver intentos de explotación antes de que se lanzara el parche oficial. Según el informe de KSL, el oficial jefe de tecnología de Cloudflare dijo que la empresa estaba observando ataques tempranos y actualizando continuamente sus mitigaciones a medida que aparecían nuevos métodos de ataque, describiendo la protección de Cloudflare como una medida temporal hasta que llegara la corrección oficial de PHP. Sansec informó por separado que Cloudflare detectó ataques a partir de las 07:43 UTC el 21 de octubre, aproximadamente seis horas antes de la corrección programada de PHP.

• WordPress, Drupal, Joomla y Magento, los sistemas de gestión de contenidos y comercio electrónico construidos sobre PHP
• Versiones específicas nombradas por Sansec como confirmadamente vulnerables: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 y Symfony 8.1
• Plataformas de alojamiento compartido y paneles de control que incluyen PHP, según el asesoramiento del NCSC
• Servicios gubernamentales holandeses DigiD y MijnOverheid, según Techzine

Escala de exposición: las estimaciones varían

Qué se sabe y qué no

El equipo de PHP confirmó que PHP 8.2, 8.3, 8.4 y 8.5 recibirían correcciones oficiales — esperadas como versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según The Hacker News — mientras que las ramas de fin de vida 8.1 y anteriores no serían parcheadas por el proveedor. Sin embargo, Sansec dijo que el código defectuoso subyacente se remonta a PHP 5.4.0, lo que significa que muchas instalaciones antiguas no compatibles probablemente permanezcan vulnerables sin corrección oficial disponible. Según The Hacker News, ningún exploit de prueba de concepto pública estaba disponible a partir de su informe del 21 de octubre, y los defectos no habían sido agregados al catálogo de Vulnerabilidades Explotadas Conocidas de CISA en ese momento — aunque la declaración posterior de Cloudflare indicó que los intentos de ataque ya estaban en curso.

Antecedentes: cómo se encontraron los defectos

La cronología de Sansec rastrea el primer error a la investigación que comenzó el 1 de agosto de 2026, por un investigador con el alias "Calif" trabajando con OpenAI, quien lo reportó al equipo de seguridad de PHP el 11 de agosto. Un segundo informe relacionado vino del equipo Wiz Research — nombrado por Sansec como Sagi Tzadik, Shir Tamari, Nir Ohfeld y Tomer Schwartz — el 24 de agosto. Sansec dijo que ambos equipos de investigación acreditaron a los modelos de IA por acelerar el trabajo de encontrar y adaptar exploits en versiones de PHP, con un investigador que aparentemente alcanzó la explotación funcionando en aproximadamente una semana. Los detalles de la divulgación coordinada bajo embargo se filtraron públicamente el 20 de octubre, lo que llevó a PHP a adelantar su anuncio y establecer el lanzamiento de parche del 21 de octubre.