# La IA vulnera código de 20 años: emergencia con PHP2Shell > Modelos de IA de vanguardia hallaron fallos críticos RCE (CVSS 9.2) en el núcleo de PHP, desatando ataques masivos. Explicamos cómo funciona y qué revisar ya. - URL: https://roobrief.com/es/posts/php2shell-frontier-ai-zero-day - Language: es - Published: 2026-10-29T01:30:00.000Z - Tags: ai, dev - Source: https://unit42.paloaltonetworks.com/threat-brief-php2shell-cve-2026-109618-109619 **Los privilegios del servidor web pueden verse comprometidos antes de que el código de la aplicación llegue a ejecutarse, por lo que actualizar el motor y revisar la configuración es urgente.** El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó actualizaciones de seguridad de emergencia para corregir graves fallos de gestión de memoria en el intérprete central. Bautizadas como «PHP2Shell» por analistas de seguridad, estas vulnerabilidades (registradas como CVE-2026-109618 y CVE-2026-109619) obtuvieron una puntuación CVSS v4.0 de 9,2, lo que supone un fallo crítico de ejecución remota de código (RCE, Remote Code Execution) que permite a atacantes no autenticados lanzar comandos en el servidor a través de la red. Lo que ha convertido este episodio, bautizado en el sector como «Octubre Negro» (Black October), en una alerta sin precedentes es el despliegue directo de modelos de IA de vanguardia (los modelos de IA más avanzados) en ambos lados. Según informes de Cloudflare y analistas de ciberseguridad, herramientas automatizadas impulsadas por IA generaron cadenas de ataque y comenzaron a escanear servidores web en todo el mundo antes de la publicación coordinada de los parches. La agencia estadounidense CISA incorporó de inmediato estos fallos a su catálogo de vulnerabilidades explotadas activamente (KEV, Known Exploited Vulnerabilities). No se ha confirmado por ahora si tras esta campaña automatizada se encuentra un grupo APT auspiciado por algún Estado. ## Cómo la IA de vanguardia desenterró vulnerabilidades de día cero en el núcleo veinteañero de PHP El código vulnerable llevaba casi dos décadas alojado en el intérprete en C de PHP, presente desde la rama PHP 5.x. A pesar de innumerables auditorías manuales y análisis estáticos a lo largo de los años, estas rutas erróneas estaban ocultas en mecanismos de control de excepciones que rara vez se activaban en condiciones habituales de tráfico. La llegada de modelos de IA de vanguardia con capacidad para contextualizar repositorios heredados de gran tamaño ha cambiado las reglas del juego. Diversos agentes de análisis inspeccionaron el código base en C, evaluando minuciosamente casos límite en máquinas de estado complejas y bifurcaciones de error hasta aislar fallos de día cero (vulnerabilidades desconocidas sin parche). Lo más preocupante es que los ciberatacantes pueden usar la misma potencia de estos modelos para sintetizar cargas útiles de explotación en cuestión de horas. ## Mecanismo y alcance del impacto de PHP2Shell (CVE-2026-109618 y 109619) Ambos fallos derivan del modo en que el intérprete de PHP gestiona las excepciones mediante la función `longjmp()` cuando surge un error crítico. CVE-2026-109618 se centra en la gestión del agotamiento de memoria (OOM, Out of Memory). Cuando ocurre un OOM, `longjmp()` desvía bruscamente la ejecución, dejando estructuras de la petición sin inicializar. Si un atacante fuerza deliberadamente esta falta de memoria con paquetes manipulados, puede controlar esas regiones de memoria no inicializadas para ejecutar código arbitrario. CVE-2026-109619 es un fallo de tipo Use-After-Free (UAF, uso de memoria tras su liberación) asociado a la supervisión del progreso de subida de archivos (`session.upload_progress.enabled`, activa por defecto en configuraciones estándar). Si un fallo crítico interrumpe la subida y activa `longjmp()`, varios punteros globales continúan apuntando a la memoria dinámica liberada. Una petición posterior puede sobrescribir ese bloque y tomar el control del flujo del programa. El factor más peligroso es el momento en que se consuma el ataque: en configuraciones típicas como Apache `mod_php`, PHP-FPM o FrankenPHP, la vulnerabilidad se dispara al procesar el cuerpo de la petición HTTP y arrancar el motor, antes de que las validaciones de entrada o los cortafuegos de aplicaciones como Laravel o WordPress lleguen a operar. ## Medidas inmediatas que verificar y aplicar en producción Dado que PHP sustenta cerca del 70 % de los sitios web del planeta, revisar los entornos de producción resulta inaplazable. La medida prioritaria pasa por actualizar el entorno a las versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Si no es posible desplegar el motor de inmediato, conviene aplicar una mitigación temporal en la configuración. Desactivar el seguimiento de subidas en `php.ini` (o en la configuración del grupo PHP-FPM) mediante `session.upload_progress.enabled = 0` y reiniciar los procesos bloquea el vector de ataque de CVE-2026-109619. No obstante, este ajuste no frena la corrupción de memoria por OOM de CVE-2026-109618, por lo que la actualización del motor sigue siendo imprescindible. En servidores que aún ejecuten ramas descontinuadas como PHP 7.x o 5.x, la situación es crítica. Al no existir parches oficiales para versiones sin soporte, es necesario aislar esos contenedores tras reglas de cortafuegos o desconectarlos de internet mientras se completa la migración. ## Qué vigilar en el futuro La IA de vanguardia ha reducido al mínimo el margen temporal entre el descubrimiento de una vulnerabilidad y su explotación práctica. Confiar únicamente en los ciclos habituales de revisión humana y despliegue manual de parches ya no basta frente a enjambres de escaneo automatizado. Los proyectos de código abierto y los proveedores de alojamiento deberán incorporar auditorías exhaustivas con IA directamente en sus canales de integración continua (CI/CD), además de capas de parcheo virtual capaces de neutralizar vulnerabilidades de día cero en tiempo real. ## Fuentes - [Palo Alto Networks Unit 42 Threat Brief](https://unit42.paloaltonetworks.com/threat-brief-php2shell-cve-2026-109618-109619) - [PHP 8 ChangeLog Releases](https://www.php.net/ChangeLog-8.php) - [CISA Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) - [Cloudflare Incident Report](https://blog.cloudflare.com/incident-report-php2shell-black-october)