Dos vulnerabilidades críticas en PHP, el lenguaje utilizado por millones de páginas web, ponen en alerta a la comunidad tecnológica mundial. El descubrimiento, realizado con ayuda de inteligencia artificial, abre una nueva etapa en la ciberseguridad: la misma tecnología que permite detectar amenazas también puede facilitar su explotación.
22 de octubre de 2026
Internet acaba de enfrentarse a una de las alertas de seguridad más importantes de los últimos años. Y lo verdaderamente novedoso no es solamente la gravedad del problema, sino la forma en que ha sido descubierto: gracias a la inteligencia artificial.
El fallo, conocido como PHP2Shell, afecta a PHP, uno de los lenguajes de programación más utilizados para construir páginas web. Su presencia es tan extensa que aproximadamente siete de cada diez sitios web del mundo utilizan esta tecnología.
La noticia ha provocado una movilización internacional de desarrolladores, administradores de servidores, proveedores de alojamiento y empresas especializadas en ciberseguridad.
Pero ¿qué ha ocurrido exactamente? ¿Significa que millones de páginas web pueden ser hackeadas? ¿Y qué papel ha desempeñado la inteligencia artificial?
PHP: una tecnología invisible para millones de usuarios
Cuando visitamos una página web, normalmente solo vemos su diseño, sus fotografías, sus textos o sus formularios. Sin embargo, detrás de muchos de esos elementos existe un lenguaje de programación encargado de procesar la información y generar el contenido que aparece en pantalla.
Uno de esos lenguajes es PHP.
Plataformas tan populares como WordPress, Joomla, Drupal o PrestaShop utilizan PHP para realizar buena parte de sus operaciones.
Cada vez que alguien consulta determinados contenidos, envía un formulario o realiza una compra en una tienda online, PHP puede intervenir en el proceso.
Por eso, descubrir un fallo grave en PHP no equivale a encontrar un problema en una página web concreta. Supone detectar una debilidad en una tecnología compartida por millones de sitios de Internet.
Y ahí reside la dimensión de esta noticia.
¿Qué es PHP2Shell y por qué resulta tan peligroso?
PHP2Shell es el nombre utilizado para identificar dos vulnerabilidades críticas, registradas oficialmente como CVE-2026-109618 y CVE-2026-109619.
Ambas han recibido una puntuación de gravedad de 9,2 sobre 10.
El problema está relacionado con la manera en que PHP gestiona la memoria del servidor cuando procesa determinadas peticiones y se producen errores.
Para entenderlo sin conocimientos técnicos, imaginemos que un servidor es una oficina en la que trabajan continuamente varios empleados procesando solicitudes.
Cada solicitud utiliza temporalmente documentos e información que después deberían retirarse correctamente.
El fallo aparece cuando, en determinadas circunstancias, quedan referencias a información que ya debería haberse eliminado o liberado. Un atacante puede aprovechar esas inconsistencias para manipular el funcionamiento del sistema.
Las consecuencias pueden ser especialmente graves.
En determinadas condiciones, un delincuente podría conseguir que el servidor ejecutara instrucciones que nunca debería aceptar, acceder a información sensible o alterar el funcionamiento de una página web.
Lo más preocupante es que algunos ataques pueden realizarse remotamente, sin necesidad de conocer una contraseña ni disponer de una cuenta de usuario.
No significa que todas las páginas web que utilizan PHP hayan sido atacadas, pero sí que las instalaciones vulnerables necesitan una actualización urgente.
El papel de la inteligencia artificial: descubrir lo que llevaba años oculto
Aquí encontramos probablemente el aspecto más interesante de toda esta historia.
Las vulnerabilidades no aparecieron ayer. Los errores que las originan llevaban años presentes en el código de PHP.
Lo que ha cambiado es nuestra capacidad para identificarlos y, especialmente, para demostrar cómo pueden aprovecharse.
Investigadores de seguridad de empresas como Calif y Wiz, con la colaboración de OpenAI, utilizaron herramientas avanzadas de inteligencia artificial para analizar el funcionamiento interno de PHP.
Estas herramientas ayudaron a encontrar combinaciones de errores y comportamientos que resultaban extraordinariamente difíciles de estudiar mediante los métodos tradicionales.
El resultado fue demostrar que fallos considerados durante años poco prácticos de explotar podían convertirse en ataques reales.
Y esto supone un cambio fundamental.
Hasta ahora, algunas vulnerabilidades podían permanecer relativamente olvidadas porque desarrollar un ataque contra ellas requería una enorme cantidad de tiempo, conocimientos y recursos.
La inteligencia artificial está reduciendo esas barreras.
Lo que antes podía exigir meses de investigación por parte de especialistas ahora puede analizarse y probarse en plazos mucho más cortos.
Y eso tiene dos caras.
Por una parte, las empresas de seguridad disponen de herramientas extraordinarias para encontrar errores antes de que causen daños.
Por otra, los ciberdelincuentes también pueden utilizar sistemas similares para localizar vulnerabilidades y desarrollar ataques.
Estamos entrando en una etapa en la que la velocidad de reacción será tan importante como la propia capacidad de protección.
¿Qué sucede con las páginas web desarrolladas en WordPress?
Una de las preguntas más evidentes es qué ocurre con WordPress, el gestor de contenidos más popular del mundo.
WordPress utiliza PHP, por lo que puede verse afectado cuando se ejecuta sobre una versión vulnerable del lenguaje.
Sin embargo, es importante aclarar una cuestión: PHP2Shell no es un fallo de WordPress ni de sus plugins.
El problema se encuentra en PHP, es decir, en una tecnología que funciona por debajo de WordPress y de muchas otras aplicaciones web.
Por tanto, actualizar WordPress, sus temas y sus extensiones sigue siendo necesario para mantener una buena seguridad, pero no resuelve por sí solo estas dos vulnerabilidades.
La corrección debe realizarse en el propio entorno PHP del servidor.
Esto convierte a los proveedores de alojamiento y a los administradores de sistemas en protagonistas fundamentales de la solución.
Cloudflare activa una protección de emergencia, incluso para cuentas gratuitas
Una de las respuestas más destacadas ha sido la de Cloudflare, compañía que proporciona servicios de seguridad y distribución de contenidos a millones de páginas web.
La empresa ha confirmado que desplegó reglas especiales en su cortafuegos de aplicaciones web, conocido como WAF, para ayudar a bloquear los intentos de explotación de PHP2Shell.
Lo especialmente relevante es que estas protecciones se han habilitado también para los clientes que utilizan su modalidad gratuita.
Cloudflare ha desarrollado mecanismos capaces de analizar no solo determinadas características de las solicitudes recibidas, sino también señales asociadas a las respuestas del servidor.
Esto permite detectar comportamientos sospechosos que podrían resultar difíciles de identificar mediante filtros convencionales.
Es una actuación importante porque ofrece una capa adicional de seguridad mientras los administradores actualizan sus sistemas.
No obstante, conviene recordar algo esencial: utilizar Cloudflare no sustituye a la actualización de PHP.
Un cortafuegos puede dificultar determinados ataques, pero la vulnerabilidad seguirá existiendo hasta que el software afectado sea corregido.
¿Qué deben hacer ahora los propietarios de páginas web?
Lo primero es evitar dos extremos: el alarmismo innecesario y la despreocupación.
No existe motivo para asumir que cualquier página web realizada en PHP ya ha sido comprometida. Pero tampoco sería responsable ignorar una vulnerabilidad de semejante gravedad.
Los responsables de páginas web y sus proveedores técnicos deberían comprobar cuanto antes qué versión de PHP están utilizando y si han recibido las actualizaciones de seguridad correspondientes.
El equipo de PHP ha publicado versiones corregidas:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Las versiones anteriores que han dejado de recibir mantenimiento oficial requieren especial atención y, según el sistema utilizado, una migración o la aplicación de correcciones proporcionadas por el fabricante o distribuidor.
También es recomendable revisar los registros de actividad del servidor, mantener copias de seguridad verificadas y comprobar que los mecanismos de protección estén correctamente configurados.
En alojamientos compartidos o gestionados, el proveedor puede encargarse de instalar estas actualizaciones. Por ello, resulta conveniente confirmar que se han aplicado.
En servidores propios o administrados directamente, la responsabilidad de revisar y corregir el entorno recae sobre sus responsables técnicos.
La medida más importante no es cambiar contraseñas ni instalar nuevos plugins de seguridad: es corregir la versión vulnerable de PHP.
Una nueva realidad: la inteligencia artificial también transforma la ciberseguridad
Durante los últimos años hemos hablado continuamente de cómo la inteligencia artificial puede escribir textos, generar imágenes, programar aplicaciones o automatizar tareas.
Pero esta noticia demuestra que su impacto va mucho más allá.
La inteligencia artificial está modificando profundamente el trabajo de los investigadores de seguridad.
Puede analizar cantidades enormes de código, identificar relaciones difíciles de detectar y ayudar a descubrir errores que han permanecido ocultos durante años.
La consecuencia es que determinadas vulnerabilidades que antes se consideraban demasiado complejas para ser explotadas pueden dejar de serlo.
Esto obliga a cambiar nuestra manera de entender el mantenimiento informático.
Ya no basta con desarrollar una página web, comprobar que funciona y dejarla operativa durante años.
Tampoco es suficiente limitar el mantenimiento a actualizar contenidos o corregir errores visibles.
La seguridad exige una vigilancia continua del software, de los servidores y de los componentes tecnológicos de los que depende cada aplicación.
La seguridad de una web no termina donde acaba su diseño
El caso PHP2Shell nos recuerda algo que muchas empresas todavía no tienen suficientemente presente: una página web es una infraestructura tecnológica viva.
Aunque aparentemente no cambie nada en su diseño y funcione con absoluta normalidad, las tecnologías que utiliza pueden necesitar actualizaciones urgentes.
Por eso es tan importante contar con un servicio de alojamiento correctamente administrado, un mantenimiento técnico profesional y procedimientos de seguridad adecuados.
La aparición de PHP2Shell no significa que Internet esté condenado a sufrir una oleada inevitable de ataques. Significa que hemos descubierto una amenaza de enorme alcance y que ya existen herramientas y actualizaciones para combatirla.
Pero también deja una enseñanza de cara al futuro.
La inteligencia artificial está cambiando las reglas de la ciberseguridad. Y, a partir de ahora, proteger una página web exigirá anticiparse a amenazas que pueden descubrirse y evolucionar mucho más rápido que antes.
La verdadera pregunta ya no es solamente si nuestra página web funciona correctamente.
Es si estamos preparados para mantenerla segura cuando aparecen amenazas que ayer ni siquiera conocíamos.
