Table of Contents
Una vulnerabilidad que permaneció durante años en el software que sostiene buena parte de Internet acaba de poner a prueba la capacidad de respuesta de empresas, gobiernos y equipos de ciberseguridad. La rapidez con la que se multiplicaron los intentos de explotación demuestra que, en el entorno digital, el tiempo entre descubrir un fallo y tener que corregirlo puede ser decisivo.
El caso de PHP2Shell revela una nueva realidad para los negocios tecnológicos: la inteligencia artificial (IA) no solo está transformando la productividad y la innovación, también está cambiando la velocidad con la que se descubren y aprovechan las debilidades del software.
Cloudflare reportó millones de intentos de explotación después de hacerse públicas dos vulnerabilidades críticas de PHP, el lenguaje utilizado por millones de sitios web. El dato no significa que todos esos intentos hayan tenido éxito, pero sí muestra la magnitud de la amenaza.
PHP2Shell: cuando la IA cambia las reglas de la ciberseguridad
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, fueron calificados con una severidad crítica de 9,2 sobre 10 en la escala CVSS (Common Vulnerability Scoring System o Sistema Común de Puntuación de Vulnerabilidades). Pueden permitir la ejecución remota de código sin autenticación en determinadas condiciones, lo que abre la puerta a que un atacante tome el control de servidores vulnerables. El riesgo afecta al propio núcleo de PHP y no exclusivamente a un gestor de contenidos o a una aplicación específica.
Wiz Research informó que PHP está presente en aproximadamente el 70 % de los sitios web del mundo. Por su parte, W3Techs registró una participación del 69,3 % entre los sitios cuyo lenguaje del lado del servidor es conocido. Estas cifras ayudan a dimensionar el alcance potencial del incidente, pero no significan que ese porcentaje de páginas esté comprometido. La exposición depende de la versión instalada, la configuración y las actualizaciones aplicadas.
De miles a millones de intentos de explotación
Matthew Prince, director ejecutivo de Cloudflare, describió el crecimiento de la actividad maliciosa con estas palabras:
Antes de la divulgación pública se detectaban miles de intentos; 45 minutos después eran decenas de miles y, dos horas más tarde, cientos de miles. La actividad terminó alcanzando millones de intentos. La declaración ilustra la rapidez con la que los atacantes comenzaron a probar la vulnerabilidad una vez conocida.
El desafío empresarial: corregir antes de sufrir el impacto
La respuesta internacional incluyó actualizaciones urgentes y cierres preventivos de algunos servicios. Organizaciones de Japón, Francia y Finlandia, entre otros países, adoptaron medidas para reducir el riesgo. En Finlandia, las autoridades aclararon que la suspensión preventiva de servicios no había sido causada por una intrusión confirmada. La distinción es importante: detener una web por precaución no demuestra que haya sido vulnerada.
Qué deben hacer las empresas para proteger sus sistemas
El equipo de PHP publicó versiones corregidas para las ramas 8.5, 8.4, 8.3 y 8.2: 8.5.12, 8.4.27, 8.3.36 y 8.2.35, respectivamente. Los administradores deben verificar la versión que realmente ejecutan sus servidores y consultar a su proveedor si trabajan con distribuciones de soporte extendido o instalaciones antiguas.
La recomendación es revisar también los sitios construidos con WordPress, Drupal, Joomla y otras aplicaciones que dependan de PHP; evaluar los registros en busca de actividad sospechosa y comprobar si hay credenciales o información sensible que deban protegerse tras una posible exposición.
La inteligencia artificial tuvo un papel relevante en el descubrimiento y la investigación de estos fallos. Wiz utilizó su agente de investigación Wiz Atlas junto con modelos de IA, mientras que OpenAI informó que Calif identificó una vulnerabilidad crítica con GPT-5.6 Sol. Wiz también descubrió y reportó de manera independiente las dos vulnerabilidades. Los mantenedores de PHP lideraron el desarrollo y la publicación de las correcciones, con apoyo de otros participantes de la iniciativa coordinada Patch the Planet.
Una nueva velocidad para la seguridad digital
PHP2Shell deja una lección que trasciende un lenguaje de programación. La inteligencia artificial puede ayudar a descubrir fallos que antes exigían largos procesos de investigación, pero también acelera la presión sobre las empresas que necesitan proteger infraestructuras cada vez más complejas. La ventaja competitiva no consiste únicamente en adoptar IA: también exige mantener sistemas actualizados, conocer las dependencias tecnológicas y responder con disciplina ante una alerta.
En ciberseguridad, una vulnerabilidad no se convierte en una crisis solo por existir. El riesgo crece cuando permanece sin corregir y la organización no sabe qué sistemas dependen de ella. La IA está cambiando la velocidad del juego; la preparación de cada empresa determinará cuánto puede resistir ese cambio.
Fuentes para esta edición
La información y las declaraciones utilizadas pueden contrastarse en estos recursos:
