Millones de sitios web bajo alerta: hackers comenzaron a atacar fallos críticos de PHP antes de que existiera una solución

Investigadores de Amazon descubrieron intentos de explotación de dos vulnerabilidades críticas cuatro días antes de que estuvieran disponibles los parches de seguridad. Los fallos, conocidos como PHP2Shell, pueden permitir la ejecución remota de código y afectan a servidores que utilizan versiones vulnerables de PHP.

La seguridad de millones de sitios web volvió a quedar bajo la lupa después de que investigadores de Amazon Web Services descubrieran que ciberdelincuentes habían intentado aprovechar dos vulnerabilidades críticas de PHP incluso antes de que sus desarrolladores publicaran las actualizaciones para corregirlas.

Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, reciben conjuntamente el nombre de PHP2Shell y afectan al entorno de ejecución de PHP, uno de los lenguajes de programación más utilizados para construir sitios y aplicaciones web.

La gravedad del problema está en que ambas vulnerabilidades podrían permitir que un atacante ejecute código malicioso en servidores vulnerables sin necesidad de iniciar sesión.

Esto representa un riesgo para numerosas plataformas y sistemas de gestión de contenidos, entre ellos WordPress, Drupal y Joomla, dependiendo de su configuración y la versión de PHP instalada.

Los parches oficiales fueron publicados el miércoles 21 de octubre de 2026, pero la investigación de Amazon reveló que ya existían intentos de ataque desde el sábado 17 de octubre.

El hallazgo demuestra que las amenazas de seguridad pueden comenzar incluso antes de que una vulnerabilidad sea conocida públicamente.

¿Qué es PHP2Shell y por qué representa un riesgo tan importante?

PHP es un lenguaje de programación que se ejecuta principalmente en servidores web.

Cuando una persona visita un sitio desarrollado con WordPress, por ejemplo, PHP participa en tareas como recuperar información de la base de datos, procesar formularios, gestionar usuarios y generar las páginas que aparecen en el navegador.

Su amplia utilización convierte cualquier vulnerabilidad grave en un problema potencialmente importante para internet.

En este caso, los investigadores identificaron dos fallos en el funcionamiento interno de PHP.

Ambos recibieron una puntuación de 9,2 sobre 10 en la escala CVSS 4.0, utilizada para evaluar la gravedad de vulnerabilidades informáticas.

Una vulnerabilidad de ejecución remota de código, también conocida como RCE, puede permitir que un atacante consiga que un servidor ejecute instrucciones no autorizadas.

Dependiendo de los permisos del proceso afectado y de las medidas de protección existentes, esto podría derivar en robo de información, instalación de archivos maliciosos, modificación de contenido o interrupción de servicios.

Lo especialmente preocupante de PHP2Shell es que el problema se encuentra en el propio entorno de ejecución del lenguaje.

Por lo tanto, actualizar únicamente un plugin o el diseño de una página web no es suficiente para eliminar estas vulnerabilidades.

Amazon descubrió que los intentos de ataque comenzaron antes de la publicación de los parches

La investigación de Amazon Web Services reveló una cronología que resulta especialmente preocupante para los especialistas en ciberseguridad.

Durante el análisis de sus sistemas de monitoreo, la compañía encontró actividad sospechosa relacionada con PHP2Shell desde el 17 de octubre.

Los intentos fueron identificados mediante MadPot, una infraestructura de investigación que utiliza sistemas señuelo, conocidos como honeypots, para observar el comportamiento de posibles atacantes.

Estos servidores están preparados para recibir actividades sospechosas y ayudar a los investigadores a comprender nuevas amenazas.

Amazon encontró que uno de los intentos había utilizado una dirección IP asociada con una red comercial de anonimización.

Aunque este comportamiento sugiere que pudo tratarse de un actor malicioso, los investigadores no han logrado determinar cómo obtuvo información sobre las vulnerabilidades antes de su divulgación oficial.

Durante las horas previas a la publicación de los parches, Amazon también detectó intentos adicionales procedentes de diferentes infraestructuras.

Esto podría indicar la participación de varios atacantes.

Sin embargo, existe una diferencia importante: detectar intentos de explotación no significa confirmar que todos esos ataques lograron comprometer servidores reales.

La Fundación PHP declaró a WIRED que, hasta ese momento, no tenía conocimiento de intentos exitosos de ejecución remota de código.

A pesar de ello, Amazon advirtió que las técnicas relacionadas con PHP2Shell ya estaban siendo utilizadas ampliamente en internet.

Las fechas clave del incidente PHP2Shell

17 de octubre: Primer intento detectado

Amazon identifica posteriormente actividad contra uno de sus servidores señuelo.

20 de octubre: Alerta y filtración

Se anticipa una actualización crítica y circula información sobre los fallos.

21 de octubre: Parches de emergencia

PHP publica versiones corregidas y comienzan a circular nuevas pruebas de explotación.

22 de octubre: Advertencia pública

WIRED y otros medios informan sobre los intentos anteriores a la corrección.

¿Qué versiones de PHP deben actualizarse?

Aquí aparece la información más importante para administradores y propietarios de sitios web.

El equipo oficial de PHP publicó cuatro versiones de seguridad el 21 de octubre de 2026.

Estas corrigen las dos vulnerabilidades críticas identificadas.

Las instalaciones que utilicen versiones anteriores dentro de las ramas afectadas deben actualizarse.

Las ramas antiguas sin soporte requieren una atención especial, porque ya no reciben las actualizaciones de seguridad habituales.

La Fundación PHP advirtió expresamente que instalar una versión corregida es la única solución completa conocida para estas vulnerabilidades.

Los cortafuegos y otras medidas de seguridad pueden reducir la exposición, pero no sustituyen la actualización del lenguaje.

¿Los sitios creados con WordPress también están en peligro?

Sí, los sitios desarrollados con WordPress pueden estar expuestos si utilizan una versión vulnerable de PHP.

Pero esto no significa que todos los sitios WordPress hayan sido comprometidos.

La diferencia es importante porque el problema no se origina necesariamente en WordPress, sus plugins o sus temas, sino en una tecnología sobre la que funciona el sistema.

Una instalación de WordPress completamente actualizada podría seguir utilizando una versión insegura de PHP si su proveedor de alojamiento no ha aplicado los parches correspondientes.

Lo mismo ocurre con sitios que utilizan Drupal, Joomla o aplicaciones desarrolladas directamente con PHP.

La Fundación PHP confirmó que los fallos pueden afectar a diferentes configuraciones de servidores, entre ellas Apache con mod_php, PHP-FPM, php-cgi, LiteSpeed y FrankenPHP.

La gravedad de la exposición depende de las características de cada instalación, pero el equipo de PHP considera especialmente preocupantes las configuraciones con mod_php, donde se ha demostrado una vía de explotación que puede activarse antes de que se ejecute el código de la aplicación.

Cómo comprobar si tu WordPress utiliza una versión vulnerable de PHP

Los propietarios de sitios WordPress pueden realizar una primera verificación sin necesidad de tener conocimientos avanzados de programación.

Desde el escritorio de administración, deben ingresar a Herramientas → Salud del sitio → Información → Servidor.

Allí aparece la versión de PHP utilizada por la instalación.

Si se detecta una versión vulnerable, lo recomendable es revisar el panel de administración del alojamiento web.

Proveedores como Hostinger, HostGator y otros servicios de hosting suelen ofrecer herramientas para seleccionar o consultar versiones de PHP, aunque la disponibilidad de las correcciones depende de cada proveedor.

Antes de modificar la versión del servidor, conviene realizar una copia de seguridad y comprobar que los plugins, temas y aplicaciones utilizados sean compatibles.

También es importante verificar que el cambio realmente aplique al sitio, especialmente cuando el servidor aloja varias instalaciones con configuraciones independientes.

Si la versión corregida todavía no aparece, lo recomendable es contactar al proveedor de alojamiento y solicitar información sobre el despliegue de los parches de seguridad de PHP2Shell.

Cinco medidas para proteger un sitio web frente a PHP2Shell

La prioridad es instalar las actualizaciones oficiales. Además, los responsables de sitios web deberían adoptar estas medidas complementarias:

1. Comprobar la versión de PHP: revisar todas las instalaciones, subdominios y aplicaciones, incluidos los entornos de desarrollo y pruebas.
2. Actualizar el servidor: instalar las versiones corregidas que correspondan a cada rama de PHP y verificar que el servicio utilice realmente la nueva versión.
3. Revisar los registros de seguridad: investigar solicitudes sospechosas, archivos inesperados y actividad anormal, especialmente desde el 17 de octubre de 2026.
4. Mantener actualizado WordPress: aplicar también las correcciones disponibles para plugins, temas y el núcleo del sistema, aunque estas actualizaciones no sustituyen el parche de PHP.
5. Utilizar protecciones adicionales: implementar cortafuegos de aplicaciones web y monitoreo de integridad para reducir riesgos y facilitar la detección de comportamientos sospechosos.

Amazon recomienda revisar posibles señales de compromiso desde el 17 de octubre y no limitar la investigación al día en que se publicaron las correcciones.

También advierte que identificar una IP sospechosa no basta por sí solo para demostrar un ataque, especialmente cuando se utilizan redes de anonimización compartidas.

La inteligencia artificial también está acelerando los ataques informáticos

Otro aspecto relevante de PHP2Shell es el papel que la inteligencia artificial está comenzando a desempeñar en el descubrimiento y aprovechamiento de vulnerabilidades.

Tradicionalmente, convertir una falla de seguridad en una herramienta de ataque funcional podía requerir conocimientos especializados y bastante tiempo.

Sin embargo, las herramientas de inteligencia artificial pueden ayudar a analizar código, comparar versiones de software y encontrar diferencias entre programas vulnerables y corregidos.

Esto podría reducir el tiempo que necesitan los atacantes para desarrollar nuevas técnicas.

CJ Moses, responsable de seguridad de Amazon, advirtió que la distancia entre la publicación de un parche y la aparición de herramientas de explotación está disminuyendo.

Pero la inteligencia artificial también puede utilizarse para fortalecer la seguridad.

Google Cloud informó que sus investigadores emplearon modelos de inteligencia artificial durante el proceso de identificación, análisis y corrección de PHP2Shell.

Entre estas herramientas estuvo Gemini 4 Argon, que colaboró con los especialistas en diferentes etapas de la investigación.

Esto demuestra que la inteligencia artificial está adquiriendo un papel cada vez más importante en ambos lados de la ciberseguridad: quienes buscan vulnerabilidades para corregirlas y quienes intentan aprovecharlas con fines maliciosos.

El problema de fondo: muchos sitios web dependen de tecnologías que sus propietarios nunca revisan

La mayoría de los usuarios sabe cuándo debe actualizar una aplicación instalada en su teléfono o computador.

Sin embargo, con los sitios web la situación suele ser diferente.

Muchos propietarios se preocupan por mantener actualizados los contenidos, cambiar imágenes, instalar plugins o mejorar el diseño, pero desconocen qué versión de PHP utiliza su alojamiento.

Esto puede generar una falsa sensación de seguridad.

Un sitio puede tener un diseño moderno, contraseñas robustas y sus plugins actualizados, pero seguir expuesto por una vulnerabilidad en el servidor.

Casos como PHP2Shell demuestran que la seguridad web no depende exclusivamente del software visible para el usuario.

También requiere mantener actualizados los componentes sobre los que funciona toda la plataforma.

PHP2Shell deja una advertencia para el futuro de internet

La investigación de Amazon deja una conclusión especialmente importante: los atacantes no siempre esperan a que una vulnerabilidad sea anunciada públicamente.

En este caso, se registraron intentos de explotación cuatro días antes de que estuvieran disponibles las correcciones.

Aunque todavía existen incertidumbres sobre el origen de esos intentos y su efectividad en sistemas reales, el incidente demuestra lo estrecho que puede llegar a ser el margen de tiempo para responder ante amenazas críticas.

PHP continúa siendo una tecnología fundamental para millones de aplicaciones y sitios web, y su popularidad hace que mantenerlo protegido sea especialmente importante.

La buena noticia es que las actualizaciones de seguridad ya están disponibles.

La mala es que no todos los administradores las aplicarán con la misma rapidez.

PHP2Shell nos recuerda que tener un sitio web funcionando correctamente no significa necesariamente que esté protegido.

Porque, en seguridad informática, el peligro no siempre aparece como una pantalla de error.

En ocasiones, una página continúa funcionando con absoluta normalidad mientras el problema permanece oculto en el servidor.

Fuentes consultadas: 1, 2, 3, 4

CATEGORÍAS:

Tecnología