Un fallo en PHP pone en riesgo millones de sitios web

El equipo de PHP, el lenguaje de programación con el que funciona gran parte de la web, publicó el miércoles 21 de octubre de 2026 correcciones de emergencia para dos fallos de seguridad críticos. Los fallos se identifican como CVE-2026-109618 y CVE-2026-109619, y cada uno tiene una puntuación de 9,2 sobre 10 en la escala de gravedad CVSS. Los investigadores los han apodado «php2shell».

Se calcula que PHP funciona en entre el 70 y el 80 % de los sitios web cuyo lenguaje de servidor se conoce, entre ellos sitios hechos con WordPress, Drupal, Joomla y Laravel. Según los investigadores, los fallos podrían permitir a un atacante ejecutar código en un servidor web y tomar su control. Más de 1,3 millones de servidores conectados a internet podrían estar afectados.

Los fallos se encontraron con ayuda de la inteligencia artificial. La empresa de seguridad Calif encontró uno con un modelo de OpenAI, y Wiz dijo que encontró varios errores de seguridad de memoria en PHP con herramientas de IA de OpenAI, de Google y propias. Wiz dice que la IA hace más fácil aprovechar errores complejos como estos.

Varias agencias de seguridad, entre ellas el CERT-EU y el Centro Nacional de Ciberseguridad del Reino Unido, pidieron a las organizaciones que actualicen cuanto antes, o que aíslen sus sitios web de internet si no pueden actualizar de inmediato. En el momento de los informes, la agencia estadounidense CISA dijo que no había visto que los fallos se usaran en ataques, mientras que algunas empresas informaron de atacantes que rastreaban internet en busca de servidores sin corregir.

Muchos servidores podrían seguir expuestos: unos 758.000 servidores que muestran su versión de PHP usan versiones antiguas que ya no reciben actualizaciones de seguridad.