Alerta de seguridad
Investigadores confirman la explotación de la falla en PHP que deja expuestos a más de 110 millones de servidores
Atacantes lograron ejecutar código a distancia en un servidor, y los parches de emergencia no llegaron a millones de equipos que siguen con versiones sin soporte.
26 de Octubre de 2026
Investigadores de ciberseguridad confirmaron la ejecución remota de código en servidores mediante las vulnerabilidades críticas de PHP conocidas como PHP2Shell. El primer ataque exitoso en un entorno real fue detectado por Adel Karimi, investigador de Perplexity, en un servidor trampa con Apache y la versión 8.4.26 de PHP. Según el reporte de BleepingComputer, el ataque logró extraer datos de memoria y ejecutar comandos a distancia en apenas milisegundos.
El hallazgo fue corroborado por Marcus Hutchins, de la firma Expel, quien lo calificó como la evidencia de mayor calidad registrada hasta ahora sobre la explotación de esta falla en entornos reales. Además, la firma VulnCheck desarrolló una vía para evadir la aleatorización del espacio de direcciones (ASLR), una protección clave de la memoria en servidores de producción.
Otros grupos también se sumaron. Sophos, Hunt.io y Arctic Wolf identificaron que operadores de una red de dispositivos secuestrados, vinculada a una variante del malware Mirai, ya incorporaron estas vulnerabilidades a su arsenal. Los identificadores CVE-2026-109618 y CVE-2026-109619 todavía no figuraban en el catálogo KEV de CISA tras la última actualización, lo que daba una falsa sensación de bajo riesgo.
The PHP Foundation liberó parches de emergencia el 21 de octubre, pero según Qualys, unos 110 millones de servidores, el 71 por ciento de las instalaciones del mundo, siguen con versiones sin soporte que nunca recibirán una solución. A eso se suman 44 millones de equipos que tienen actualización disponible y todavía no la aplicaron.
Amazon señaló en su blog corporativo que los atacantes comenzaron a escanear hasta cuatro días antes de que los parches se hicieran públicos. Aunque el protocolo bitcoin no usa PHP y no se ve afectado, casas de cambio, carteras digitales y proveedores de pagos dependen de ese lenguaje, por lo que buena parte de su infraestructura está en riesgo.
Con una severidad de 9,2, la recomendación para quienes no puedan actualizar de inmediato, como las versiones 8.5.12 u 8.4.27, es restringir el acceso público con VPN y aislar los servidores.
