PHP2Shell: así está «paralizando» internet la falla crítica de PHP
Hace apenas tres días, PHP2Shell era solo el nombre de dos fallas críticas en PHP. Hoy es la razón por la que gobiernos, hospitales, bancos y empresas de todo el mundo han apagado sus sitios web por precaución, mientras los atacantes lanzan millones de intentos de explotación. No es que internet se haya «caído» por completo, pero sí ha vivido una de sus semanas más tensas desde Log4Shell en 2021.
En esta entrada te contamos cómo PHP2Shell está afectando a internet, quiénes han tenido que desconectarse, cuántos ataques se han registrado y por qué todo esto pasó tan rápido.
Un repaso rápido: ¿qué es PHP2Shell?
PHP2Shell agrupa dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9.2 en CVSS v4.0. Permiten a un atacante ejecutar código en el servidor sin autenticarse, solo enviando peticiones preparadas. Las descubrieron investigadores de Calif.io, Wiz, OpenAI y Quarkslab, con ayuda de herramientas de inteligencia artificial.
Si quieres el detalle técnico y los pasos para parchear, lo explicamos en nuestra entrada anterior: PHP2Shell: PHP lanza parches urgentes.
¿Por qué afecta a «casi toda» internet?
El problema no está en un plugin o en una aplicación concreta, sino en el intérprete de PHP, el lenguaje sobre el que funcionan WordPress, Drupal, Joomla, Magento y miles de sistemas propios. Algunas cifras ayudan a dimensionarlo:
- PHP está detrás de cerca del 70 % de los sitios web del mundo, según Wiz y Cloudflare.
- Censys contó unos 2,58 millones de servidores expuestos a internet y 54,9 millones de propiedades web que usan PHP.
- Según Wiz, todas las versiones de PHP publicadas en la última década están afectadas por al menos una de las dos fallas.
Dicho de otra forma: si tienes una web, hay muchas probabilidades de que esté afectada.
La cronología de una semana caótica
- 17 de octubre: los honeypots de Amazon detectan un primer intento de explotación, cuatro días antes de la divulgación pública. Todo apunta a que la información se filtró.
- 20 de octubre (noche): los detalles circulan antes de lo previsto y el equipo de PHP lanza un aviso urgente. Agencias de la Unión Europea, Estados Unidos, Alemania, Japón, Australia, Reino Unido y Países Bajos emiten alertas.
- 21 de octubre: salen los parches (PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35). Ese mismo día, Amazon Web Services advierte que la falla está siendo «ampliamente explotada», y empiezan los apagones preventivos.
- 22 de octubre: Debian, Ubuntu, Fedora, Red Hat, Gentoo y SUSE publican paquetes actualizados. Algunos sitios empiezan a volver.
- 23 de octubre: se conoce una tercera falla, CVE-2026-115560, que afecta incluso a las versiones ya parcheadas.
Millones de ataques en cuestión de horas
La parte más llamativa de PHP2Shell es la velocidad. Como los detalles se hicieron públicos prácticamente al mismo tiempo que el parche, atacantes y defensores arrancaron la carrera en igualdad de condiciones.
Matthew Prince, CEO de Cloudflare, informó que su red registró decenas de miles de intentos de explotación en los primeros 45 minutos, cientos de miles a las dos horas y millones al final del 21 de octubre. Cloudflare había desplegado reglas de protección en su firewall web (WAF) unas nueve horas antes de la divulgación, pero la propia empresa las describe como una medida temporal.
Ojo: estas cifras son intentos, no hackeos confirmados. Investigadores de watchTowr señalaron que, hasta el momento, no habían visto intentos exitosos, aunque advirtieron que «no esperan que eso dure mucho».
Gobiernos y empresas desconectan sus webs
Ante el riesgo y la falta de paquetes actualizados en las primeras horas, muchas organizaciones tomaron la decisión más drástica: sacar sus sitios de internet hasta poder parchear. Estos son algunos de los casos reportados:
Gobiernos
- República Checa: retiró su portal principal de gobierno el 21 de octubre por recomendación de su agencia de ciberseguridad.
- Finlandia: apagó temporalmente los servicios web públicos del gobierno.
- Países Bajos: el propio Centro Nacional de Ciberseguridad (NCSC) desconectó su web «por precaución».
- Alemania: el proveedor federal de TI (ITZBund) apagó varias webs; en Berlín se cayeron partes del portal de la ciudad y la denuncia en línea de la policía, y también hubo webs de gobierno y policía inaccesibles en Baviera y Baja Sajonia.
- Bélgica: la cancillería retiró temporalmente sus sitios, aunque su centro de ciberseguridad no registró ataques.
- Reino Unido: un ministro informó a la Cámara de los Lores que 32 servicios quedaron fuera de línea y 4 funcionaban parcialmente.
- Según Reuters, también hubo sitios gubernamentales caídos o en mantenimiento en Dinamarca y Francia.
Empresas, hospitales y bancos
- Charité, uno de los hospitales universitarios más grandes de Europa, desconectó su web completa.
- Nintendo, OBS Project y el servicio de monitoreo Oh Dear también desconectaron servicios mientras aplicaban los parches.
- BambooHR apagó su aplicación y su web el 21 de octubre y las restauró ese mismo día.
- En Japón, los proveedores de CMS Six Apart y Alfasado recomendaron a sus clientes pausar los sitios dinámicos que no pudieran actualizar.
- En Nepal, el banco central pidió a los bancos desconectar sus webs donde fuera necesario; varios ya están de vuelta.
Nadie ha publicado aún una cifra total de sitios caídos en el mundo, pero The Record habló de «cientos de webs» fuera de línea solo el miércoles 21.
¿Se «paralizó» internet de verdad?
La respuesta corta es: no del todo, pero sí lo suficiente como para notarlo. Internet siguió funcionando, y los grandes servicios no se cayeron en masa. Lo que sí ocurrió fue algo poco habitual: una ola de apagones voluntarios y simultáneos en sitios de gobiernos, hospitales y empresas de varios continentes, todos por la misma causa.
Es una diferencia importante. La mayoría de estas caídas no fueron provocadas por los atacantes, sino por los propios administradores, que prefirieron apagar a arriesgarse a que les instalaran una puerta trasera. Y hasta ahora, la mayoría de organizaciones que se desconectaron (como BambooHR, el gobierno neerlandés o Bélgica) reportan no haber sufrido compromisos.
Aun así, Wiz compara el escenario con Log4Shell: como PHP está incrustado en tantísimas aplicaciones, parchear todo va a llevar meses, y los servidores olvidados seguirán siendo un blanco durante mucho tiempo.
Una tercera falla complica el panorama
Cuando parecía que bastaba con actualizar, apareció CVE-2026-115560, una nueva falla de ejecución remota relacionada con el manejo de sesiones. Afecta incluso a las versiones ya parcheadas (como PHP 8.5.12) y se corregirá en la próxima versión regular de PHP. Por ahora no se han reportado ataques que la aprovechen.
¿Y en Perú?
Hasta el momento no hay reportes públicos de sitios peruanos caídos por PHP2Shell, pero eso no significa que estemos a salvo. Muchas webs de empresas, municipalidades, colegios y tiendas en línea del país funcionan con WordPress u otros sistemas en PHP, a menudo en hostings compartidos con versiones antiguas. Si tienes un sitio web:
- Revisa tu versión de PHP en el panel de tu hosting (cPanel, Plesk, etc.).
- Actualiza a una versión corregida (8.5.12, 8.4.27, 8.3.36 u 8.2.35) o pide a tu proveedor que lo haga.
- Si usas PHP 8.1 o anterior, confirma con tu proveedor si aplicó el parche por su cuenta (backport) o planifica migrar.
- Busca archivos extraños (posibles web shells) creados desde el 17 de octubre.
- Si no puedes parchear, considera hacer lo mismo que los gobiernos europeos: desconectar el sitio hasta poder hacerlo.
Conclusión
PHP2Shell no tumbó internet, pero sí obligó a una parte importante de la web a apagarse por miedo, algo que pocas vulnerabilidades consiguen. La combinación de una falla crítica, una filtración antes del parche y un software presente en 7 de cada 10 sitios hizo que la reacción fuera inmediata y global. La lección es la de siempre, pero más urgente que nunca: mantener el software del servidor actualizado no es opcional.
Seguiremos informando sobre PHP2Shell y la nueva falla CVE-2026-115560 aquí en Tecnober.
Fuentes: Krebs on Security, Fortune, Cloudflare, The Record, heise online, Shattered, The Hacker News, Wiz, watchTowr, Gulf News.
