PHP2Shell: la IA ayudó a encontrar vulnerabilidades RCE críticas en PHP

El 21 de octubre, el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas que permiten la ejecución remota de código sin iniciar sesión: CVE-2026-109618 y CVE-2026-109619. Ese mismo día, Wiz Research las describió como PHP2Shell y reveló que los modelos Gemini 4 Argon y GPT-5.6 Sol ayudaron a encontrarlas y a escribir el exploit.

¿Qué es la vulnerabilidad PHP2Shell?

PHP2Shell son dos fallos en el propio motor de PHP, no en una aplicación concreta. Ambos tienen una puntuación CVSS de 9.2. Según el aviso de php.net:

1. CVE-2026-109618 afecta a la gestión de falta de memoria (OOM). El error puede interrumpir PHP cuando los datos internos de la petición están inicializados solo en parte, y la limpieza al final de la petición los trata después como si fueran válidos.
2. CVE-2026-109619 es el llamado «estado global obsoleto»: el estado interno de una petición puede sobrevivir a la liberación de la memoria, y la siguiente petición atendida por el mismo proceso puede usarlo.

Están en riesgo todas las instalaciones de PHP que sirven tráfico web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El peor caso es mod_php, porque ahí se mostró un exploit en el que una petición sin autenticación lanza el ataque antes de que se ejecute cualquier código de la aplicación.

Según Wiz, el código vulnerable llevaba más de una década en PHP y el problema afecta a versiones desde PHP 5.4. Los investigadores demostraron la ejecución remota de código en las últimas imágenes de Docker de WordPress, Drupal y Joomla.

¿Qué papel tuvo la IA en el descubrimiento de PHP2Shell?

Wiz explica que durante toda la investigación usó sobre todo su herramienta Wiz Atlas y los modelos Gemini 4 Argon y GPT-5.6 Sol, y que Gemini 4 Argon ayudó a encontrar la vulnerabilidad, escribir el exploit, detectar el ataque y comprobar el parche. La cronología de la publicación de Wiz es esta:

1. 19 de agosto de 2026: Wiz encuentra la primera vulnerabilidad.
2. 20 de agosto: confirma la ejecución remota de código en Drupal.
3. 21 de agosto: lo mismo en WordPress.

Es decir, del hallazgo del fallo a un ataque funcional contra WordPress pasaron dos días. Wiz explica que los fallos existían desde hacía mucho y que demostrar que eran explotables exigía una cadena de pasos muy compleja, pero los modelos de IA «substantially reduced that barrier, turning a longstanding flaw into an exploit». Raluca Ada Popa, responsable de seguridad de Gemini en Google DeepMind, comentó que Wiz había demostrado «why frontier AI is a game-changer for cyber defense».

No fue solo Google. Según heise, el primer equipo en encontrarlas fue Calif, que auditaba código junto con el PHP Ecosystem Security Team dentro de la iniciativa «Patch the Planet» de OpenAI. Wiz y OpenAI reprodujeron las vulnerabilidades con ayuda de LLM y colaboraron en la revisión del parche.

¿Por qué se habla tanto de esto?

Primero, por la escala. WordPress, Drupal y Joomla funcionan sobre PHP, y la vulnerabilidad se activa antes del código de la aplicación. El anuncio del parche en la lista php.announce superó los 1300 puntos en Hacker News antes incluso de que se conocieran los detalles.

Segundo, por la filtración. Según heise, la publicación estaba prevista para el 22 de octubre, pero se adelantó un día porque la información se había filtrado. SecurityWeek informa de que watchTowr reprodujo CVE-2026-109618 antes de que salieran los parches, y Sansec prevé que los ataques masivos empiecen «within 15 minutes of the patch release». Por ahora, ni watchTowr ni Huntress han visto que se aprovechen en ataques reales.

Tercero, por la tendencia. Igual que con Claude Mythos en Bank of America, los modelos de IA encuentran errores graves más rápido de lo que las personas consiguen parchearlos. El problema es que los atacantes tienen las mismas herramientas, como dejó claro el ciberataque con IA en la plataforma Cairn.

¿Qué hacer si usamos PHP?

1. Actualicemos PHP a 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Según php.net y Wiz, es la única protección completa.
2. Según heise, las ramas antiguas 7.4, 8.0 y 8.1 recibirán backports, y las distribuciones de Linux publicarán paquetes en cuestión de horas.
3. Con Docker hay que descargar la nueva imagen y reiniciar el contenedor.
4. Revisemos también los equipos con panel web en PHP: NAS, routers, appliances (heise menciona, entre otros, pfSense, QNAP y Synology).
5. Hasta actualizar, ayudan las reglas WAF de Cloudflare, Akamai o AWS, pero el equipo de PHP llama a los apaños en la configuración «a temporary crutch».

(en un hosting compartido, pregunta a tu proveedor cuándo instalará los parches)

Preguntas frecuentes

¿PHP2Shell afecta a WordPress?

Sí. Wiz demostró la ejecución remota de código en la última imagen wordpress:latest, y también en Drupal y Joomla. La vulnerabilidad está en PHP, así que lo que protege es actualizar PHP, no WordPress.

¿Qué versiones de PHP son seguras?

PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, del 21 de octubre de 2026, y las posteriores. Las versiones anteriores deben considerarse vulnerables.

¿Ya se están explotando las vulnerabilidades?

Según SecurityWeek, watchTowr y Huntress no han visto ataques reales, pero los detalles se filtraron antes de la publicación y Sansec espera ataques masivos justo después de que salgan los parches.

¿Quién encontró PHP2Shell?

Según heise, el primero fue el equipo de Calif, dentro de «Patch the Planet» de OpenAI. Wiz Research describió las vulnerabilidades con el nombre PHP2Shell y las encontró con ayuda de Gemini 4 Argon y GPT-5.6 Sol.