PHP2Shell: la falla crítica que mantuvo offline a gobiernos y amenaza a América Latina
Una vulnerabilidad de máxima gravedad, descubierta con IA, expuso servidores web durante más de diez años.
La semana del 20 de octubre de 2026 pasó a la historia digital como el “Black October”. Investigadores de seguridad combinaron inteligencia artificial para detectar dos fallas críticas en PHP, el lenguaje que sostiene al 70% de los sitios web del mundo. Las vulnerabilidades, bautizadas como PHP2Shell y clasificadas con 9,2 sobre 10 en la escala CVSS v4.0, permiten a un atacante tomar el control de un servidor sin necesidad de iniciar sesión.
Detrás del hallazgo están Wiz, firma de ciberseguridad que usó su herramienta Atlas junto con Gemini 4 Argon (Google) y GPT-5.6 Sol (OpenAI). Según Wiz, el modelo de Google fue clave para encontrar el código vulnerable, que llevaba más de diez años presente. La empresa asegura que un solo investigador completó en una semana lo que antes habría tomado meses a un equipo de primer nivel.
Una filtración que adelantó los parches
La información sobre PHP2Shell se filtró el 20 de octubre, antes de lo previsto. El equipo de seguridad de PHP fijó la publicación del parche para el 21 de octubre a las 14:00 UTC. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
En esa ventana, varios organismos europeos optaron por desconectar sus sitios. Páginas de gobiernos, colegios y hospitales en Francia, Alemania, Finlandia y Reino Unido salieron de línea. El equipo de respuesta a emergencias de la Unión Europea, CERT-EU, recomendó a los sitios que no pudieran parchar que consideraran desconectarse. Vaisha Bernard, jefe de hackers de Eye Security, puntualiza que la vulnerabilidad está en PHP mismo, por lo que actualizar WordPress o sus plugins no basta: el arreglo debe hacerse en el servidor.
América Latina, en la mira de los atacantes
PHP2Shell no es un caso aislado. La firma de seguridad Straiker detectó que un grupo de atacantes usó una red de agentes de IA impulsados por modelos como Claude (Anthropic) y Grok (xAI) para atacar más de 400 objetivos en América Latina, incluidos bancos y empresas de pagos. Unit 42, de Palo Alto Networks, había documentado dos grupos de intrusión con tácticas similares activos en la región desde febrero de 2026.
El informe de caza de amenazas 2026 de CrowdStrike reveló que en el primer trimestre del año las alertas gatilladas por agentes de IA llegaron a 2,5 veces la tasa de las originadas por personas. Adam Meyers, jefe de operaciones de la compañía, lo resume así: la IA ya está incorporada en las operaciones de los atacantes modernos. Para quien administra un sitio en PHP —incluyendo miles de sitios chilenos hechos con WordPress, Drupal o Joomla— la recomendación de las agencias es concreta: actualizar a una versión corregida cuanto antes o mantenerlo fuera de línea hasta hacerlo.
Con información de La Tercera · Tecnología
