Dos vulnerabilidades críticas en PHP, el lenguaje de programación utilizado por buena parte de las páginas web del mundo, han desencadenado millones de intentos de ciberataque en apenas unas horas. Los fallos, descubiertos con ayuda de inteligencia artificial, fueron divulgados el 21 de octubre de 2026 y han obligado a gobiernos, bancos y empresas tecnológicas a adoptar medidas de emergencia para proteger sus servidores.
La gravedad del problema ha provocado una movilización internacional poco habitual. Varias administraciones han desconectado temporalmente servicios digitales, mientras que organismos de ciberseguridad de Europa, Estados Unidos y Asia han recomendado instalar inmediatamente las actualizaciones disponibles.
Los errores permiten, bajo determinadas condiciones, ejecutar código malicioso en servidores vulnerables sin necesidad de conocer una contraseña. Esto podría facilitar el robo de información, la manipulación de archivos o el acceso no autorizado a aplicaciones.
La situación afecta potencialmente a numerosas plataformas desarrolladas con PHP, entre ellas WordPress, Drupal, Joomla y Magento, aunque no significa que todas las páginas que utilizan estos sistemas hayan sido comprometidas.
Los ataques pasaron de miles a millones en cuestión de horas
La rapidez con la que comenzaron los intentos de explotación constituye uno de los aspectos más preocupantes del incidente.
Matthew Prince, consejero delegado de Cloudflare, explicó el 21 de octubre que los sistemas de su compañía ya habían registrado miles de intentos de aprovechar las vulnerabilidades durante las diez horas anteriores a su divulgación pública.
Después del anuncio, la actividad maliciosa aumentó de forma extraordinaria.
En los primeros 45 minutos se contabilizaron decenas de miles de intentos. A las dos horas, la cifra había alcanzado varios cientos de miles y posteriormente superó el millón.
La evolución refleja hasta qué punto los ciberdelincuentes pueden aprovechar la publicación de una vulnerabilidad grave para comenzar a buscar servidores desprotegidos.
No obstante, existe una diferencia fundamental entre un intento de explotación y un ataque que consigue comprometer un servidor.
Los registros de actividad maliciosa no permiten determinar cuántas páginas han sido realmente vulneradas. Muchas solicitudes pueden ser bloqueadas por sistemas de seguridad, dirigirse contra servidores actualizados o fracasar por otras razones técnicas.
Por tanto, hablar de millones de intentos de ciberataque no significa que millones de sitios web hayan sido pirateados.
Qué vulnerabilidades se han descubierto en PHP
Los dos problemas de seguridad han sido identificados mediante los códigos CVE-2026-109618 y CVE-2026-109619.
Ambos afectan al funcionamiento interno del intérprete de PHP y han recibido una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS 4.0.
Esta calificación los sitúa entre las vulnerabilidades críticas, debido principalmente a la posibilidad de que un atacante consiga ejecutar instrucciones en un servidor sin autenticarse previamente.
Los investigadores han agrupado los fallos bajo la denominación PHP2Shell.
| Vulnerabilidad | Gravedad | Riesgo principal |
| CVE-2026-109618 | 9,2/10 | Ejecución remota de código mediante corrupción de memoria |
| CVE-2026-109619 | 9,2/10 | Ejecución remota de código mediante un problema de gestión del estado interno |
| Ambas vulnerabilidades | Crítica | Posible acceso no autorizado a servidores sin autenticación |
Una explotación satisfactoria podría permitir que un delincuente ejecutara instrucciones con los permisos del proceso PHP comprometido.
Dependiendo de la configuración del servidor, esto podría facilitar el acceso a archivos, información almacenada o recursos utilizados por las aplicaciones.
Sin embargo, la capacidad real del atacante dependerá de los permisos, el aislamiento y las medidas de seguridad de cada sistema.
La existencia de estas vulnerabilidades tampoco implica que permitan automáticamente obtener el control completo de cualquier servidor.
La inteligencia artificial permitió descubrir fallos que llevaban años ocultos
Una de las características más significativas de este incidente es la intervención de herramientas avanzadas de inteligencia artificial en el proceso de investigación.
Los equipos de seguridad de Wiz y OpenAI participaron en la identificación y análisis de los problemas, utilizando modelos capaces de examinar código y detectar comportamientos potencialmente peligrosos.
Entre los sistemas empleados figuran Gemini 4 Argon y GPT-5.6 Sol.
La inteligencia artificial ayudó a localizar vulnerabilidades, evaluar posibles formas de explotación y comprobar la eficacia de determinadas correcciones.
El trabajo también permitió acelerar tareas que tradicionalmente requieren un análisis técnico prolongado.
La participación de estos modelos no elimina la necesidad de investigadores humanos, responsables de interpretar los resultados, validar los problemas y coordinar la publicación de las soluciones.
De hecho, uno de los fallos había sido identificado inicialmente por un investigador en 2024, aunque en aquel momento no se había demostrado de forma suficientemente clara cómo podía aprovecharse en un ataque.
Los responsables del proyecto PHP han reconocido que la demora en resolverlo puso de manifiesto deficiencias en sus procedimientos de gestión de vulnerabilidades.
El episodio plantea una cuestión relevante para el futuro de la ciberseguridad: las herramientas de inteligencia artificial pueden acelerar el descubrimiento de fallos, pero también reducir el tiempo que necesitan los atacantes para desarrollar métodos de explotación.
Gobiernos y bancos desconectan servicios para evitar posibles intrusiones
La divulgación de los errores desencadenó una respuesta internacional inmediata.
Diversas administraciones europeas suspendieron temporalmente páginas web y servicios digitales mientras sus equipos técnicos comprobaban las versiones de PHP utilizadas y aplicaban las correspondientes actualizaciones.
En Japón, el Ministerio de Finanzas interrumpió el acceso a determinados contenidos y servicios electrónicos como medida preventiva.
El grupo financiero Mitsubishi UFJ también anunció la suspensión temporal de algunos servicios por internet durante la aplicación de medidas de seguridad.
La primera ministra japonesa, Sanae Takaichi, instó a los responsables de páginas web a verificar si utilizaban PHP y preparar las actualizaciones necesarias.
En China, las autoridades pidieron a empresas y organismos revisar sus sistemas, instalar las versiones corregidas y reforzar la vigilancia frente a posibles accesos no autorizados.
Corea del Sur elevó el nivel de alerta de ciberseguridad para el sector privado y activó procedimientos de respuesta de emergencia.
Estas decisiones muestran la importancia de PHP en numerosos servicios digitales, incluidos aquellos que los ciudadanos utilizan para realizar trámites administrativos o acceder a sus cuentas.
Las suspensiones preventivas no deben confundirse con ataques confirmados. En muchos casos, los servicios fueron desconectados precisamente para evitar una posible intrusión mientras se completaban las actualizaciones.
WordPress y otras plataformas pueden verse afectadas aunque estén actualizadas
El incidente tiene especial relevancia para los administradores de páginas web desarrolladas con WordPress, Drupal, Joomla, Magento y otras aplicaciones que dependen de PHP.
La razón es que los problemas de seguridad no se encuentran necesariamente en estos gestores de contenidos, sino en el lenguaje de programación que utilizan para funcionar.
Esto significa que una instalación de WordPress completamente actualizada puede continuar expuesta si el servidor ejecuta una versión vulnerable de PHP.
Actualizar los plugins, la plantilla o el propio gestor de contenidos no sustituye la necesidad de corregir el componente afectado.
En el caso de WordPress, sus responsables han aclarado que estas vulnerabilidades no requieren una actualización específica del gestor.
La solución consiste principalmente en instalar una versión de PHP que incorpore las correcciones de seguridad.
También resulta necesario comprobar que el proveedor de alojamiento haya aplicado las actualizaciones, especialmente cuando la gestión de PHP depende directamente de la empresa de hosting.
Los administradores de servidores propios deberán revisar sus instalaciones y verificar que las aplicaciones continúan funcionando correctamente después de actualizar.
Qué versiones de PHP están afectadas y cuáles solucionan los fallos
Los desarrolladores de PHP publicaron el 21 de octubre cuatro versiones que incorporan las correcciones necesarias.
Las actualizaciones disponibles son PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 y PHP 8.2.35.
Las instalaciones que utilizan versiones anteriores dentro de estas ramas deben actualizarse para corregir las vulnerabilidades conocidas.
| Rama de PHP | Versión corregida | Recomendación |
| PHP 8.5 | 8.5.12 | Actualizar a esta versión o posterior corregida |
| PHP 8.4 | 8.4.27 | Actualizar a esta versión o posterior corregida |
| PHP 8.3 | 8.3.36 | Actualizar a esta versión o posterior corregida |
| PHP 8.2 | 8.2.35 | Actualizar a esta versión o posterior corregida |
| PHP 8.1 y anteriores | Sin parche oficial en esas ramas | Migrar a una versión compatible y mantenida |
Las instalaciones con PHP 8.1 o versiones anteriores plantean un problema adicional porque estas ramas ya no reciben actualizaciones de seguridad del proyecto oficial.
En esos casos, los administradores deberán planificar la migración a una versión compatible y mantenida.
Algunos proveedores empresariales pueden ofrecer correcciones propias para determinadas versiones antiguas, pero su disponibilidad deberá comprobarse con cada suministrador.
Mantener una versión obsoleta únicamente porque la página continúa funcionando correctamente supone un riesgo, especialmente cuando aparecen vulnerabilidades críticas que pueden explotarse desde internet.
Cómo comprobar si una página de WordPress está protegida
Los responsables de sitios web pueden realizar una primera comprobación sin necesidad de disponer de conocimientos avanzados de programación.
En WordPress, la versión instalada de PHP puede consultarse desde el panel de administración.
El procedimiento es el siguiente:
- Acceder al escritorio de WordPress.
- Entrar en Herramientas.
- Seleccionar Salud del sitio.
- Abrir la pestaña Información.
- Desplegar el apartado Servidor.
- Localizar el campo correspondiente a la versión de PHP.
Si la versión instalada es anterior a las correcciones publicadas el 21 de octubre, será necesario comprobar cómo actualizarla.
En muchos alojamientos compartidos, esta operación se realiza desde el panel de control del proveedor, donde existe una herramienta para seleccionar la versión de PHP.
Sin embargo, no conviene cambiar de versión sin comprobar previamente la compatibilidad de las aplicaciones, plugins y temas instalados.
Una actualización puede provocar problemas de funcionamiento cuando existen componentes antiguos que dependen de características eliminadas o modificadas.
La prioridad debe ser aplicar la corrección de seguridad mediante un procedimiento controlado, con una copia de seguridad reciente y la posibilidad de recuperar el servicio si aparece alguna incompatibilidad.
Los administradores que no tengan acceso a la configuración del servidor deberán contactar con su proveedor de alojamiento para confirmar que la actualización se ha aplicado.
Qué hacer si el servidor todavía utiliza una versión vulnerable
La recomendación principal de los organismos especializados en ciberseguridad es instalar cuanto antes las actualizaciones publicadas.
Cuando esto no sea posible inmediatamente, conviene adoptar medidas temporales para reducir la exposición.
Entre las actuaciones recomendadas se encuentran:
- Identificar los servidores afectados, incluyendo aplicaciones y servicios secundarios que también utilicen PHP.
- Aplicar los parches de seguridad correspondientes a la versión instalada.
- Revisar los registros del servidor para detectar solicitudes sospechosas o actividades anómalas.
- Actualizar las reglas del cortafuegos de aplicaciones web, cuando el proveedor disponga de protecciones específicas.
- Limitar temporalmente la exposición pública de los servicios vulnerables si no pueden corregirse.
- Comprobar posibles indicios de intrusión, especialmente en sistemas que hayan permanecido expuestos después de la divulgación de los fallos.
Los cortafuegos y otros mecanismos de protección pueden reducir determinados riesgos, pero no sustituyen la instalación de los parches.
Además, actualizar el servidor impide la explotación de los fallos corregidos, pero no elimina por sí sola una posible intrusión que se haya producido anteriormente.
Si existen sospechas de compromiso, será necesario realizar una investigación adicional y revisar credenciales, archivos y registros de actividad.
En los sistemas especialmente sensibles, las autoridades europeas recomiendan considerar el aislamiento temporal de aplicaciones expuestas a internet cuando no sea posible aplicar una solución de forma inmediata.
Por qué estos fallos representan un problema de seguridad mundial
PHP es uno de los componentes tecnológicos más extendidos de internet.
Su utilización alcanza aproximadamente el 70% de las páginas web cuyo lenguaje de programación del lado del servidor puede identificarse.
Aunque esta cifra no significa que todas esas páginas sean vulnerables, permite comprender por qué la publicación de dos fallos críticos ha provocado una respuesta internacional tan amplia.
El problema también pone de manifiesto una característica de la infraestructura digital: numerosos servicios aparentemente independientes utilizan componentes comunes.
Una vulnerabilidad en uno de esos elementos puede afectar simultáneamente a administraciones públicas, comercios electrónicos, medios de comunicación y empresas de distintos países.
La situación es especialmente delicada cuando los errores permiten ejecutar código sin autenticación, porque los atacantes pueden intentar aprovecharlos de forma automatizada.
Además, la difusión pública de los detalles técnicos facilita que otros investigadores y desarrolladores comprueben los problemas y apliquen soluciones, pero también proporciona información que puede ser utilizada por ciberdelincuentes.
El resultado es una carrera entre quienes actualizan sus sistemas y quienes intentan aprovechar las instalaciones que continúan desprotegidas.
La inteligencia artificial acelera una nueva etapa en la ciberseguridad
La crisis provocada por las vulnerabilidades de PHP también refleja un cambio en la investigación de seguridad informática.
Los modelos avanzados de inteligencia artificial permiten examinar grandes cantidades de código, identificar patrones difíciles de detectar manualmente y comprobar hipótesis de forma más rápida.
Estas capacidades ofrecen ventajas considerables a los equipos encargados de proteger sistemas informáticos.
Sin embargo, también pueden ser utilizadas para localizar puntos débiles y acelerar el desarrollo de ataques.
El caso de PHP demuestra que el tiempo disponible entre el descubrimiento de una vulnerabilidad y los primeros intentos masivos de explotación puede ser extremadamente reducido.
Las actualizaciones publicadas el 21 de octubre permiten corregir los dos fallos identificados, pero su eficacia dependerá de la rapidez con la que sean instaladas en los servidores afectados.
La principal amenaza ya no consiste únicamente en que aparezcan vulnerabilidades desconocidas, sino en la velocidad con la que pueden convertirse en ataques automatizados a escala mundial. Para los responsables de páginas web, mantener actualizados los componentes del servidor ha dejado de ser una simple tarea de mantenimiento: es una medida esencial para proteger los datos, la continuidad del servicio y la seguridad de sus usuarios.