Esta semana se ha activado una alerta internacional de ciberseguridad de nivel prioritario. Diversos organismos de inteligencia como la NSA y el FBI, junto con el Instituto Nacional de Ciberseguridad (INCIBE), han advertido sobre la localización de dos vulnerabilidades críticas en PHP, el lenguaje de programación que sustenta aproximadamente el 70% de las páginas web de Internet.
El hallazgo, denominado en el sector como PHP2Shell, ha llevado a varias administraciones públicas europeas e instituciones a desconectar temporalmente sus portales de forma preventiva mientras se aplican los parches necesarios.
¿Por qué un fallo en PHP afecta a tantas páginas web?
PHP es el lenguaje de programación que opera en segundo plano (backend) en gran parte de la web actual. Es el encargado de procesar formularios, gestionar sesiones de usuario, conectar con bases de datos y generar el contenido en tiempo real.
Además, constituye la base de los gestores de contenidos (CMS) más utilizados del mercado, como WordPress (presente en cerca del 40% de los sitios web), PrestaShop o Drupal. Debido a este alcance masivo, cualquier vulnerabilidad en el núcleo de PHP expone de forma simultánea a millones de servidores en todo el mundo.
¿Qué es la amenaza PHP2Shell y qué riesgos conlleva?
Las vulnerabilidades detectadas —identificadas como CVE-2026-109618 y CVE-2026-109619— han recibido una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS v4.0.
El peligro principal radica en que permiten la ejecución remota de código sin autenticación (Unauthenticated Remote Code Execution):
- Acceso sin credenciales: Un atacante puede enviar solicitudes manipuladas a través de la red sin necesidad de disponer de una cuenta ni introducir contraseñas.
- Control del servidor: Al explotar la falla en la gestión de memoria del motor PHP, el atacante puede ejecutar comandos del sistema, alterar contenidos, acceder a la base de datos o descargar archivos no autorizados.
Aunque el nivel de exposición varía según la configuración concreta del servidor (siendo especialmente sensible en entornos con Apache mod_php o combinaciones específicas de PHP-FPM), la recomendación oficial de las agencias de seguridad es proceder a la auditoría y actualización inmediata.
Plan de acción: Cómo verificar y corregir el fallo
Para garantizar la seguridad de cualquier entorno web que utilice este lenguaje, los administradores de sistemas deben seguir las recomendaciones oficiales de mitigación:
1. Comprobar la versión instalada
Verificar qué versión de PHP ejecuta el servidor. Las versiones oficiales que incorporan la corrección de seguridad en las ramas con soporte activo son:
- Rama 8.5: versión 8.5.12 o superior.
- Rama 8.4: versión 8.4.27 o superior.
- Rama 8.3: versión 8.3.36 o superior.
- Rama 8.2: versión 8.2.35 o superior.
(Para versiones antiguas sin soporte regular, como las ramas 7.4, 8.0 u 8.1, se han publicado parches de código específicos que deben aplicarse manualmente).
2. Actualización o aislamiento preventivo
La medida principal es aplicar la actualización oficial distribuida por los desarrolladores del proyecto PHP. Si la actualización no puede realizarse de forma inmediata por motivos de compatibilidad de software, la indicación de las agencias de ciberseguridad es aislar o restringir temporalmente el acceso público al servidor hasta corregir la falla.
3. Auditoría de registros
Se aconseja revisar los registros (logs) del servidor para detectar posibles comportamientos anómalos o peticiones sospechosas ejecutadas antes de la aplicación del parche.