Dos vulnerabilidades críticas en PHP permiten a los ciberdelincuentes tomar el control de servidores sin autenticación
Las vulnerabilidades, conocidas como PHP2Shell, presentan una gravedad de 9,2 sobre 10 y permiten ejecutar código de forma remota sin necesidad de interacción del usuario.
Zscaler, la plataforma de ciberseguridad de la era de la inteligencia artificial, alerta sobre la reciente divulgación de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados en el desarrollo web. Identificadas como CVE-2026-109618 y CVE-2026-109619, y conocidas conjuntamente como PHP2Shell, ambas presentan una puntuación de gravedad de 9,2 sobre 10 según el sistema CVSS v4.0 y permiten a los atacantes ejecutar código de forma remota sin autenticación ni interacción por parte del usuario.
Según el análisis publicado por ThreatLabz, el equipo de investigación de amenazas de Zscaler, estas vulnerabilidades, divulgadas el 21 de octubre, afectan al entorno de ejecución de PHP y pueden facilitar el acceso no autorizado a servidores, el robo de información sensible y el compromiso de otros sistemas de las empresas. Su gravedad aumenta debido a la amplia implantación de PHP en infraestructuras web de todo el mundo, incluidas plataformas como WordPress, Drupal, Joomla y Magento.
Dos fallos críticos que facilitan ataques automatizados a gran escala
Las vulnerabilidades afectan a la gestión de la memoria de PHP y pueden combinarse para permitir la ejecución remota de código. La CVE-2026-109618 está relacionada con errores en la inicialización de memoria cuando se agotan los recursos disponibles, mientras que la CVE-2026-109619 permite acceder a zonas de memoria previamente liberadas. La combinación de ambos fallos puede facilitar que un atacante tome el control de un servidor vulnerable. Según ThreatLabz, estos fallos afectan a las aplicaciones PHP independientemente de los controles de seguridad implementados a nivel de aplicación, lo que incrementa la necesidad de actualizar los sistemas vulnerables.
Una de las principales preocupaciones es que su explotación no requiere credenciales ni ninguna acción por parte de los usuarios, lo que abre la puerta a ataques completamente automatizados a escala global. Además, los atacantes podrían acceder a información almacenada en la memoria de los procesos, como contraseñas, tokens de autenticación, claves de API o certificados.
En este sentido, la inteligencia artificial está reduciendo las barreras para identificar y explotar vulnerabilidades complejas, según señala Deepen Desai, vicepresidente ejecutivo de Ciberseguridad de Zscaler. “PHP2Shell demuestra cómo la IA puede reducir las barreras para explotar vulnerabilidades complejas. Los investigadores utilizaron modelos de IA de última generación para descubrir fallos críticos en PHP y desarrollar y adaptar exploits funcionales en múltiples aplicaciones en cuestión de horas”, añade.
Zscaler recomienda aplicar parches de forma urgente
Ante la gravedad de estos fallos, Zscaler insta a las organizaciones a actualizar inmediatamente sus instalaciones de PHP a las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La compañía advierte de que todas las versiones desde PHP 5.4 están afectadas, aunque únicamente las ramas que siguen contando con soporte oficial han recibido parches.
Para aquellas empresas que utilicen versiones sin soporte, como PHP 7.x, 8.0 u 8.1, la recomendación es migrar cuanto antes a una versión compatible. Cuando no sea posible actualizar de inmediato, la compañía aconseja desactivar los servicios vulnerables o aislarlos de Internet y de otras redes no fiables como medida temporal.
Asimismo, destacan la importancia de identificar todas las instalaciones de PHP presentes en la infraestructura corporativa, supervisar los registros de los servidores para detectar posibles intentos de explotación y reducir la exposición de las aplicaciones mediante arquitecturas Zero Trust.
Zscaler subraya que la combinación de la gravedad técnica de PHP2Shell y la gran cantidad de sistemas potencialmente afectados convierte estas vulnerabilidades en una amenaza especialmente relevante para las empresas, que deben priorizar la aplicación de las actualizaciones de seguridad para reducir el riesgo de ataques.
