Los intentos de explotación de la vulnerabilidad PHP2Shell escalan a millones en horas, según Cloudflare

El Ministerio de Transformación Digital y la Función Pública, a través de INCIBE-CERT, ha recomendado a administraciones públicas y empresas españolas actualizar de inmediato sus instalaciones de PHP tras la detección de dos vulnerabilidades críticas que afectan a las ramas 8.2 a 8.5 del lenguaje, según la alerta INCIBE-2026-762, actualizada el 21 de octubre de 2026. Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, han recibido una puntuación de gravedad de 9,2 sobre 10 en la escala CVSS y permiten a un atacante ejecutar código de forma remota sin necesidad de autenticarse, según el aviso oficial.

La primera vulnerabilidad, CVE-2026-109618, se produce por un manejo incorrecto de los errores de memoria agotada ("out-of-memory"): cuando el servidor se queda sin memoria durante la inicialización parcial de una petición, el proceso de limpieza posterior trata datos incompletos como válidos, lo que un atacante puede aprovechar para ejecutar código arbitrario. La segunda, CVE-2026-109619, es un fallo de tipo "use-after-free": el estado que queda de una petición anterior apunta a memoria ya liberada, y una petición posterior gestionada por el mismo proceso puede reutilizar esa referencia, lo que también permite la filtración de memoria además de la ejecución de código, según el análisis técnico publicado por la firma de ciberseguridad Tenable.

Ambos fallos afectan especialmente a instalaciones con el módulo Apache mod_php, donde, según PHP, "un ataque demostrado puede desencadenarse mediante una petición no autenticada antes de que se ejecute ningún código de la aplicación", así como a configuraciones con PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. La firma Palo Alto Networks, a través de su unidad de inteligencia de amenazas Unit 42, ha identificado más de 22 millones de instancias potencialmente expuestas a nivel mundial, dado que PHP es la base de gestores de contenidos y marcos de desarrollo ampliamente usados como WordPress, MediaWiki y Symfony.

Los identificadores de las vulnerabilidades se filtraron el 20 de octubre en foros y redes sociales antes del anuncio oficial, lo que llevó a la Fundación PHP a adelantar la publicación de los parches. Las versiones corregidas, liberadas el 21 de octubre, son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, con parches de respaldo también para ramas fuera de soporte. INCIBE-CERT señala que "la única solución completa" es actualizar a las versiones corregidas y recomienda que, si un sistema expuesto no puede actualizarse de inmediato, se aísle de las redes públicas hasta aplicar el parche.

El volumen de ataques ha escalado con una rapidez inusual: el consejero delegado de Cloudflare, Matthew Prince, cifró en "miles" los intentos de explotación detectados en las diez horas previas al anuncio oficial del 21 de octubre, cifra que pasó a "decenas de miles" en los primeros 45 minutos tras la divulgación pública, a "cientos de miles" en las dos horas siguientes y a "millones" pocas horas después, según datos de la compañía recogidos por el boletín especializado Resilient Cyber. Amazon, por su parte, ya había detectado un primer intento de explotación el 17 de octubre a través de su red de señuelos (honeypots), cuatro días antes de la divulgación pública, encauzado a través de un servicio comercial de anonimización, lo que indica que algunos actores conocían el fallo antes del anuncio coordinado.

Pese al volumen masivo de intentos, los expertos consultados no han confirmado hasta el momento brechas efectivas atribuibles a PHP2Shell: según recoge el medio especializado TheNextWeb, los intentos se cuentan ya por millones pero los responsables de seguridad no han detectado compromisos exitosos confirmados, lo que atribuyen en parte a la rapidez con la que se han desplegado parches y reglas de mitigación. Cloudflare ha activado reglas de su cortafuegos de aplicaciones web (WAF) como medida provisional para sus clientes, y varios países han suspendido de forma preventiva servicios oficiales construidos sobre PHP mientras completan la actualización.