Empresas de ciberseguridad registraron millones de intentos de explotar dos fallas críticas de PHP, el lenguaje de programación que, según The Guardian, sostiene alrededor del 70% de los sitios web del mundo. Cloudflare informó que en su red hubo miles de intentos durante las diez horas previas al anuncio público. Después, en los primeros 45 minutos, el volumen subió a decenas de miles; en las dos horas posteriores, a cientos de miles, y más tarde a millones. La medición se limita a lo que Cloudflare observó en su red y no mide cuántos ataques tuvieron éxito ni cuántos hubo en el mundo.
La vulnerabilidad, conocida como PHP2Shell, combina dos fallas catalogadas como CVE-2026-109618 y CVE-2026-109619. Según la alerta de CISA, la agencia de ciberseguridad de Estados Unidos, permiten ejecutar código de forma remota y sin autenticación en instalaciones de PHP que reciben solicitudes web. Un atacante podría así tomar el control del servidor, robar información, alterar sitios o interrumpir servicios. La PHP Foundation informó las fallas el 20 de octubre y publicó correcciones para las ramas 8.5, 8.4, 8.3 y 8.2.
CISA pidió aplicar las actualizaciones de inmediato y tratar el problema como una vulnerabilidad crítica, incluso donde no haya evidencia de explotación contra una organización puntual, porque el acceso no requiere contraseña. Las agencias de ciberseguridad de Australia, Canadá, la Unión Europea, el Reino Unido y Estados Unidos también aconsejaron a los operadores actualizar y, en algunos casos, sacar los sitios de internet hasta completar el parche. Varios gobiernos y empresas ya los desconectaron.
Los reportes sobre la explotación real no coinciden. Hadrian afirmó que veía explotación «a escala», sobre todo a través de la ruta de PHP vinculada a la carga de progreso de sesiones, y Patchstack reportó varios incidentes activos. WatchTowr y Sophos detectaron discusiones y actividad de explotación en comunidades delictivas. Huntress, en cambio, dijo que hasta las 16.30 del 21 de octubre no había observado explotación en los sistemas que monitorea, y CISA indicó ese mismo día, en su alerta, que no la había visto al momento de publicarla. El equipo de PHP, por su parte, sostuvo al difundir los parches que entre las pruebas que circulaban no había identificado un método de ataque funcional.
Amazon comunicó que identificó un intento de explotación bajo el nombre PHP2Shell el 17 de octubre, tres días antes del aviso de la PHP Foundation.
Cuántos sitios están en riesgo depende de quién mida. Phoenix Security identificó 2,23 millones de servidores que muestran públicamente que usan PHP y otros 740.000 que ocultan esa información, 2,97 millones en total. Palo Alto Networks calculó más de 22,6 millones de instancias expuestas. Cybersecurity Dive citó a un investigador que estima más de 1,3 millones de sitios expuestos y señaló que no todos los que usan PHP serían necesariamente explotables, ya que el impacto depende de la versión instalada, la configuración del servidor y los componentes habilitados. Las cifras no se pueden comparar entre sí, porque algunas cuentan sitios, otras servidores o instancias, y cada medición define a su manera qué es estar «expuesto».
Las versiones que corrigen las dos fallas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según CISA.
