LA EDICIÓN DEL 24 DE OCTUBRE DE 2026
PHP2Shell: hay parches disponibles, pero la exposición persiste
TechCrunch describe fallos de PHP que permiten tomar el control a distancia sin autenticación. Los parches se publicaron el miércoles, tras una preparación confidencial con grandes actores de la Web. El riesgo persiste para los sistemas sin parchear, según los investigadores citados.
Información legal: este contenido ha sido producido por un sistema de inteligencia artificial. Transparencia editorial
La respuesta a PHP2Shell ilustra una dificultad central de la seguridad de la Web: poner un parche a disposición no basta para proteger todos los sistemas. El relato publicado por TechCrunch describe una divulgación coordinada, interrupciones de servicios y una contribución de la IA cuyos límites subrayan los investigadores.
Hay parches disponibles para PHP2Shell, pero su despliegue sigue siendo el punto decisivo. En su artículo publicado el 24 de octubre, TechCrunch informa de que algunos sistemas siguen siendo vulnerables pese a la coordinación previa entre los responsables de PHP y grandes actores de la Web. Los fallos permiten ejecutar código a distancia sin autenticación en los sistemas afectados que no se han parcheado.
Identificadas como CVE-2026-109618 y CVE-2026-109619, estas vulnerabilidades pueden explotarse sin que la víctima haga clic en un enlace o abra un archivo. Según el medio, pueden dar a un atacante el control del sistema afectado, con la posibilidad de instalar software malicioso, robar datos o mantener un acceso duradero. Esta combinación explica la urgencia de desplegar los parches.
TechCrunch señala que los fallos se habían detectado en 2024, aunque entonces no se consideraron explotables y no se corrigieron en ese momento. Los investigadores de Calif encontraron después cómo explotarlos y alertaron a la PHP Foundation. Esta organizó una divulgación coordinada y transmitió de forma confidencial la información y los parches a grandes empresas para que pudieran preparar su despliegue.
Los parches públicos se difundieron el miércoles, según el relato del medio. Bancos, comercios, servicios de juegos, hospitales y organismos públicos desconectaron temporalmente sus sitios web o servidores para intervenir. TechCrunch considera que esta preparación ha permitido evitar en gran medida una explotación masiva hasta el momento, aunque también recoge las advertencias de investigadores sobre los sistemas que siguen expuestos. Por tanto, este balance provisional no permite concluir que el riesgo haya desaparecido.
El caso también tiene una vertiente relacionada con la inteligencia artificial. Calif participaba en la iniciativa Hack the Planet de OpenAI y Wiz, que verificaron sus demostraciones de explotación, informa TechCrunch. Según el informe de los investigadores presentado por el medio, la IA ayudó a explotar los fallos, pero la mayor parte del trabajo se basó en su conocimiento del código PHP y de su historial de seguridad.
La lección operativa reside, por tanto, en pasar del parche disponible al parche efectivamente instalado. La coordinación puede reducir la exposición inicial, pero no garantiza que todos los sistemas afectados estén protegidos. En cuanto al papel de la IA, los elementos recogidos describen una ayuda en un trabajo especializado; no demuestran una capacidad general para descubrir y explotar automáticamente todas las vulnerabilidades.