Vulnerabilidad PHP2Shell genera alerta internacional y ataques informáticos masivos

Un fallo de seguridad conocido como PHP2Shell ha provocado una alerta internacional tras registrarse millones de intentos de ataques informáticos contra páginas web que utilizan PHP, una tecnología presente en aproximadamente siete de cada diez sitios de internet. La vulnerabilidad permite que delincuentes informáticos intenten acceder a servidores vulnerables sin necesidad de conocer contraseñas, lo que podría comprometer información personal y credenciales.

La empresa Cloudflare reportó un aumento acelerado de los ataques después de que las vulnerabilidades fueran divulgadas el miércoles 21 de octubre de 2026. Investigadores identificaron dos fallos críticos en PHP, catalogados como CVE-2026-109618 y CVE-2026-109619, relacionados con errores en el manejo de la memoria y con una calificación de gravedad de 9.2 sobre 10. La empresa de ciberseguridad Wiz confirmó que los fallos afectan a servidores que utilizan plataformas como WordPress, Drupal y Joomla.

La situación llevó a bancos, aerolíneas, compañías tecnológicas y organismos gubernamentales de países como Japón, Francia y Finlandia a suspender temporalmente servicios digitales de manera preventiva. Entidades como Mitsubishi UFJ, Nomura, la aerolínea ANA, la empresa Orange y el proveedor estatal finlandés Valtori figuran entre las afectadas por interrupciones, aunque no se ha confirmado un robo masivo de datos o intrusiones generalizadas.

OpenAI confirmó que una de las vulnerabilidades fue identificada por la firma de seguridad Calif utilizando el modelo GPT-5.6 Sol, mientras que Wiz descubrió y reportó ambas fallas de forma independiente. Tras el descubrimiento, los desarrolladores de PHP publicaron el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir los errores, instando a los administradores a aplicar los parches correspondientes.