¿Estás siendo atacado?
La revelación de dos vulnerabilidades críticas de PHP ha acaparado los titulares en todo el mundo y ha llevado a muchas organizaciones a plantearse una pregunta importante: ¿con qué rapidez podemos identificar nuestra exposición al riesgo y reaccionar?
Aunque la atención se ha centrado de inmediato en la corrección, la historia detrás de PHP2Shell pone de relieve un cambio más amplio. La investigación en seguridad asistida por IA está acelerando el descubrimiento de vulnerabilidades, incluidas aquellas que han permanecido ocultas durante años en software de uso generalizado.
En este artículo, Richard Ford, director técnico de Integrity360, analiza lo que PHP2Shell supone para los defensores y cómo las organizaciones pueden prepararse para un futuro en el que el descubrimiento de vulnerabilidades impulsado por la IA aumente tanto el volumen como el ritmo de las amenazas recién reveladas.
¿Qué es PHP2Shell?
Registradas como CVE-2026-109618 y CVE-2026-109619, estas vulnerabilidades pueden permitir la ejecución remota de código en una amplia gama de versiones de PHP, lo que hace que sea urgente que las organizaciones evalúen su exposición y actúen con rapidez.
El aviso de amenaza de Integrity360 identificó riesgos de ejecución remota de código que afectan a una amplia gama de implementaciones de PHP y destacó el elevado riesgo que plantean las aplicaciones conectadas a Internet. El aviso también identificó a mod_php como el que presenta el mayor riesgo, ya que casi de inmediato se ha puesto a disposición un exploit demostrado capaz de activarse mediante una solicitud no autenticada antes de que se ejecute el código de la aplicación.
Plataformas de uso generalizado como WordPress, Joomla y Magento pueden verse afectadas si utilizan versiones vulnerables de PHP. Dado que, según se informa, ya hay exploits de prueba de concepto disponibles, las organizaciones deben dar prioridad a las actividades de evaluación, aplicación de parches y corrección para reducir el riesgo de que se produzca una brecha de seguridad.
¿Qué diferencia a PHP2Shell?
PHP2Shell es relevante no solo por la gravedad de las vulnerabilidades implicadas, sino también por la forma en que se descubrieron.
Durante décadas, las organizaciones han confiado en una combinación de investigación en seguridad, pruebas, revisiones de código y programas de recompensas por errores para identificar puntos débiles en el software. PHP2Shell demuestra cómo el análisis asistido por IA está cambiando ese proceso, ayudando a los investigadores a descubrir vulnerabilidades que han permanecido ocultas en software de uso generalizado durante años.
Como explica Richard Ford, director técnico de Integrity360:
«Según se informa, uno de los errores subyacentes se remonta a 2004 y es consecuencia de fallos de seguridad en la memoria que se señalaron pero no se solucionaron. Esto se debe, en parte, a que no era factible crear un exploit y, de hecho, un desarrollador principal de PHP descubrió el error de falta de memoria relacionado con una de las vulnerabilidades ya en 2024. Aunque no se consideraba humanamente posible explotarla, el análisis asistido por IA, que funciona a una velocidad de máquina muy superior a la capacidad humana, fue capaz de salvar esa brecha y encontrar la cadena perfecta de acciones para hacerla realidad. Esto demuestra cómo las nuevas tecnologías pueden sacar a la luz debilidades que han permanecido ocultas durante décadas y descubrir vías complejas para explotarlas».
Esto convierte a PHP2Shell en algo más que una simple historia sobre parches. Pone de relieve un cambio fundamental en el descubrimiento de vulnerabilidades. Dado que la IA permite a los investigadores analizar enormes cantidades de código de forma más rápida y eficaz, las organizaciones deben esperar que se descubran más vulnerabilidades de larga data, a menudo sin previo aviso.
Para los defensores, esto supone un nuevo reto. El descubrimiento de vulnerabilidades hasta entonces desconocidas puede provocar un repentino aumento de la actividad de corrección, ya que los equipos de seguridad se apresuran a identificar los sistemas afectados, evaluar el riesgo e implementar soluciones antes de que los actores maliciosos puedan explotarlas. Al mismo tiempo, los proveedores de software se enfrentan a una presión cada vez mayor para comprender los fallos recién descubiertos y desarrollar parches eficaces con rapidez.
El resultado es una carrera cada vez más acelerada entre el descubrimiento y la explotación. Las organizaciones que cuenten con una sólida visibilidad de sus activos y con capacidades de gestión de vulnerabilidades y de respuesta ante incidentes estarán en una posición mucho más favorable para reaccionar cuando surja la próxima vulnerabilidad crítica.
PHP2Shell nos recuerda que las vulnerabilidades más peligrosas no siempre son las más recientes. A veces llevan años ocultas a plena vista, a la espera de que una nueva generación de tecnología descubra los secretos para aprovecharlas.
¿Qué deben hacer las organizaciones ante las vulnerabilidades críticas de PHP?
Si aún no lo han hecho, las organizaciones deben identificar rápidamente todas las instalaciones de PHP afectadas, dando prioridad a los sistemas conectados a Internet y aplicando las actualizaciones de seguridad pertinentes con carácter de urgencia. También deben investigar si algún sistema vulnerable ya ha sido comprometido.
Los parches ya están disponibles y deben instalarse lo antes posible, pero las organizaciones que tarden en hacerlo deberían plantearse desconectar temporalmente las aplicaciones conectadas a Internet hasta que se pueda aplicar el parche.
Richard aconseja a las organizaciones afectadas que realicen evaluaciones de compromiso para buscar indicadores de explotación, como la invocación inesperada de un shell y las solicitudes web salientes.
¿Cómo puedo saber si mi organización está expuesta a PHP2Shell?
El primer paso es la visibilidad. Las organizaciones deben saber dónde se ejecuta PHP en su entorno, especialmente en los sistemas conectados a Internet, y si está integrado en aplicaciones, plataformas o servicios de terceros.
Tras la revelación de PHP2Shell, uno de los retos más comunes para los equipos de seguridad fue determinar rápidamente su grado de exposición. Antes de que las organizaciones puedan evaluar el riesgo o priorizar las medidas correctivas, necesitan tener una visión clara de su superficie de ataque y de las tecnologías que la sustentan.
Esto implica responder a una serie de preguntas clave:
- ¿En qué partes de nuestro entorno expuesto al exterior se ejecuta PHP?
- ¿A qué sistemas se puede acceder desde Internet?
- ¿Qué versiones de PHP se utilizan actualmente?
- ¿Dónde está presente PHP en nuestro entorno interno?
- ¿Está PHP integrado en alguna aplicación o servicio de terceros del que dependamos?
- ¿Se han aplicado parches o medidas de mitigación a los sistemas potencialmente afectados?
- ¿Hay indicios de intentos de explotación o de que esta haya tenido éxito?
Las preguntas planteadas por los clientes de Integrity360 tras la divulgación reflejaban estas mismas preocupaciones. Las organizaciones querían saber si PHP estaba presente en los servicios gestionados, qué versiones se habían implementado, si se habían realizado evaluaciones respecto a las vulnerabilidades recién divulgadas, qué medidas de mitigación estaban disponibles y si se habían identificado indicios de compromiso.
En definitiva, una gestión eficaz de las vulnerabilidades comienza por saber con qué se cuenta. Las organizaciones mejor preparadas para responder a amenazas como PHP2Shell son aquellas que cuentan con una sólida visibilidad de sus activos, una supervisión continua de la superficie de ataque y la capacidad de identificar rápidamente dónde existen tecnologías vulnerables en todo su entorno.
Por qué las aplicaciones de terceros suponen otro reto
Una de las lecciones más importantes que se desprenden del caso PHP2Shell es que la vulnerabilidad de una organización no se limita necesariamente a la infraestructura que gestiona directamente.
Richard Ford comparó este reto con Log4Shell, y destacó la dificultad a la que se pueden enfrentar las organizaciones a la hora de identificar dónde se encuentra el software vulnerable integrado en aplicaciones y sistemas de terceros.
«Las empresas deben colaborar estrechamente con sus proveedores para determinar su grado de exposición y confirmar qué medidas se están tomando. El riesgo va más allá de los sistemas que gestionan directamente».
Esto convierte lo que parece ser un problema de gestión de vulnerabilidades en una cuestión más amplia de visibilidad y riesgo de terceros. Una organización puede tener un profundo conocimiento de la infraestructura que gestiona directamente, pero eso sigue dejando una pregunta importante:
¿Con qué rapidez podría determinar si una vulnerabilidad crítica recién revelada existe en algún lugar de su ecosistema tecnológico más amplio? Nuestro servicio de gestión de riesgos de terceros puede ayudarle.
Por qué PHP2Shell es una historia de IA
Aunque PHP2Shell acaparó los titulares en todo el mundo, su implicación más significativa radica en otro ámbito. Puede que sea uno de los ejemplos más claros hasta la fecha de cómo la IA está cambiando la detección de vulnerabilidades.
Durante años, el sector de la ciberseguridad ha partido de la premisa de que las vulnerabilidades se descubrirían mediante una combinación de investigación en seguridad, pruebas, revisiones de código y programas de recompensa por errores. El análisis asistido por IA ha puesto en tela de juicio esa premisa y ha acelerado drásticamente ese proceso, permitiendo a los investigadores identificar puntos débiles que podrían haber permanecido ocultos en el software durante años, o incluso décadas.
Esto supone tanto una oportunidad como un reto. Por un lado, la IA puede ayudar a descubrir y abordar los riesgos antes de que sean explotados. Por otro, provocará un aumento en el número de vulnerabilidades críticas que se descubren en un plazo mucho más breve.
La gestión tradicional de vulnerabilidades se ha basado, en parte, en disponer de tiempo suficiente entre el descubrimiento, la divulgación, la explotación y la corrección. A medida que la IA acelera la fase de descubrimiento, las organizaciones deben plantearse si sus procesos, recursos y tecnologías pueden seguir el ritmo.
La divulgación de PHP2Shell suscitó precisamente estos debates en Integrity360. La prioridad no era simplemente aplicar parches a los sistemas afectados, sino comprender rápidamente la exposición de la organización: identificar los activos conectados a Internet, evaluar el impacto potencial y determinar la respuesta más adecuada, ya fuera aplicar parches, implementar controles compensatorios, realizar evaluaciones adicionales o, en algunos casos, desconectar los sistemas vulnerables.
En una era de detección de vulnerabilidades impulsada por la IA, la ciberresiliencia dependerá cada vez más de la rapidez con la que las organizaciones puedan comprender su exposición y actuar antes de que lo hagan los atacantes.
También hay un elemento proactivo en el que la IA debería ayudar. PHP2Shell demostró el poder de aplicar la IA al código y a las plataformas para descubrir vulnerabilidades. Cualquier organización que desarrolle aplicaciones debería prestar atención a este ejemplo y asegurarse de que el análisis de seguridad de aplicaciones impulsado por la IA se integre en el ciclo de vida del desarrollo de software (SDLC) para tomar la iniciativa.
¿Es suficiente la gestión tradicional de vulnerabilidades?
PHP2Shell pone de manifiesto las limitaciones de considerar la gestión de vulnerabilidades únicamente como un ciclo que consiste en detectar un CVE e instalar un parche.
Cuando se da a conocer una vulnerabilidad crítica, los equipos de seguridad deben responder rápidamente a varias preguntas:
¿De qué activos disponemos?
No se puede evaluar la exposición a algo cuya existencia se desconoce.
¿Cuáles de esos activos están expuestos?
Los sistemas conectados a Internet pueden requerir una atención especialmente urgente.
¿Qué vulnerabilidades suponen el mayor riesgo?
Los equipos deben distinguir las vulnerabilidades urgentes del conjunto más amplio de vulnerabilidades que gestionan.
¿Se ha producido ya algún ataque?
Cuando se sospecha que se ha producido una intrusión, es posible que la corrección por sí sola no sea suficiente.
¿Nuestras medidas han eliminado realmente el riesgo?
La corrección debe ir seguida de una validación.
Material difundido internamente por «First Take» de Gartner: «Soluciona PHP ahora, pero aborda la gestión de vulnerabilidades a continuación» relacionaba de forma similar el problema de PHP con la gestión de la exposición y el CTEM, incluyendo el inventario, la detección, la validación de problemas, la planificación, las pruebas y la corrección.
Cinco preguntas que los responsables de seguridad deberían plantearse tras el incidente PHP2Shell
PHP2Shell no será la última vulnerabilidad urgente que las empresas tengan que abordar.
En lugar de considerarlo un incidente aislado, los responsables de seguridad deberían aprovecharlo para comprobar si su organización es capaz de responder a cinco preguntas fundamentales:
1. ¿Sabemos cuáles son nuestras tecnologías más expuestas?
Mantener una visibilidad suficiente de los activos internos y conectados a Internet para identificar rápidamente las tecnologías afectadas cuando se anuncie una vulnerabilidad grave.
2. ¿Podemos determinar rápidamente nuestro nivel de exposición?
Saber que existe una vulnerabilidad no es lo mismo que saber si afecta a su organización.
3. ¿Conocemos nuestra exposición a terceros?
Pregunte a los proveedores qué tecnología utilizan en los servicios que prestan, si las vulnerabilidades recientemente reveladas afectan a dichos servicios y qué medidas correctivas se están adoptando.
4. ¿Podemos identificar indicios de que se ha producido una intrusión?
En el caso de PHP2Shell, recomendamos buscar indicadores como actividad inesperada del shell y solicitudes web salientes sospechosas. Esto variará en función de la vulnerabilidad detectada.
5. ¿Podemos responder con la rapidez que exige la amenaza?
La respuesta puede implicar la aplicación de parches, la desconexión temporal de un servicio, la evaluación de un posible compromiso de seguridad o la aplicación de otros controles adecuados, dependiendo de la vulnerabilidad y del sistema en cuestión.
La capacidad fundamental es ser capaz de tomar esa decisión basándose en una comprensión precisa de su exposición.
Pasar de la aplicación reactiva de parches a la gestión continua de la exposición
La prioridad inmediata en relación con PHP2Shell está clara: las organizaciones afectadas deben conocer su grado de exposición, aplicar parches a los sistemas afectados e investigar posibles vulneraciones cuando sea necesario.
Pero la lección más amplia debería perdurar mucho más allá de la propia vulnerabilidad.
Los equipos de ciberseguridad necesitan cada vez más la capacidad de comprender de forma continua su superficie de ataque, identificar vulnerabilidades importantes, priorizar las exposiciones que suponen un riesgo significativo y verificar que las medidas correctivas han tenido éxito.
A medida que la inteligencia artificial cobre cada vez más importancia tanto para la investigación en ciberseguridad como para el panorama general de amenazas, la capacidad de hacerlo con rapidez será aún más importante.
La vulnerabilidad PHP2Shell plantea a las organizaciones una pregunta sencilla:
Cuando se descubra la próxima vulnerabilidad crítica, ¿en cuánto tiempo sabrás si estás expuesto a ella?
Conoce tu nivel de exposición
Conocer la existencia de una vulnerabilidad crítica es solo el primer paso. Saber dónde estás expuesto, qué hay que priorizar y si ya se ha producido una intrusión es lo que permite actuar de forma eficaz.
Integrity360 puede ayudar a las organizaciones a comprender su superficie de ataque, identificar vulnerabilidades, evaluar posibles brechas de seguridad y reforzar su enfoque en la gestión de vulnerabilidades y exposiciones.
Habla con nuestros expertos en ciberseguridad para comprender tu exposición y prepararte para lo que está por venir.
Preguntas frecuentes
¿Qué es PHP2Shell?
PHP2Shell es el nombre que se le ha dado a dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código en los sistemas afectados. Las vulnerabilidades afectan a una amplia gama de versiones de PHP y pueden suponer un riesgo significativo para las aplicaciones conectadas a Internet.
¿Por qué se considera PHP2Shell tan grave?
Si un atacante lograra aprovecharlas, podría ejecutar código de forma remota en un servidor vulnerable. Dado el uso generalizado de PHP en sitios web, aplicaciones web y servicios empresariales, la superficie de ataque potencial es considerable.
¿En qué se diferencia PHP2Shell de vulnerabilidades anteriores?
Estas vulnerabilidades destacan no solo por su gravedad, sino porque, según se ha informado, la investigación asistida por IA ha desempeñado un papel importante en la identificación de fallos que habían permanecido ocultos durante muchos años en software de uso generalizado. Esto pone de relieve cómo la IA está cambiando la velocidad y la escala del descubrimiento de vulnerabilidades.
¿Qué sistemas podrían verse afectados?
Cualquier aplicación, servicio o plataforma que ejecute una versión vulnerable de PHP puede estar en riesgo. Esto puede incluir tanto aplicaciones desarrolladas internamente como plataformas populares como WordPress, Joomla y Magento, en las que se utilizan las versiones afectadas de PHP.
¿Cómo puedo saber si mi organización es vulnerable?
Empieza por identificar dónde se utiliza PHP en tu entorno, especialmente en los sistemas conectados a Internet. Los equipos de seguridad deben determinar:
- Qué versiones de PHP se utilizan
- A qué sistemas se puede acceder desde el exterior
- Si PHP está integrado en aplicaciones de terceros
- Si se han aplicado parches a los sistemas afectados
- Si hay indicios de intentos de explotación
¿Se ven afectados los proveedores de servicios gestionados y los proveedores de software?
Es posible. Muchas organizaciones dependen de proveedores externos cuyos productos o servicios utilizan PHP. Es importante ponerse en contacto con los proveedores y confirmar si se ven afectados, qué medidas de mitigación se han aplicado y si hay parches disponibles.
¿Se ha observado algún caso de explotación?
Dada la divulgación pública de las vulnerabilidades y los informes sobre exploits de prueba de concepto, las organizaciones deben dar por hecho que los atacantes intentarán explotar los sistemas sin parches y deben vigilar de cerca cualquier indicio de compromiso.
¿Qué deben hacer las organizaciones de inmediato?
Las organizaciones deben:
- Identificar todas las instalaciones de PHP afectadas.
- Dar prioridad a los sistemas conectados a Internet.
- Aplicar los parches del proveedor cuando estén disponibles.
- Implementar controles compensatorios si no es posible aplicar los parches de inmediato.
- Revisar los registros y la supervisión de seguridad en busca de indicios de explotación.
- Evalúe a los proveedores externos y los servicios alojados externamente.
¿Cambia PHP2Shell la forma en que las organizaciones deben abordar la gestión de vulnerabilidades?
Sí. PHP2Shell pone de relieve la creciente importancia de la visibilidad de los activos, la gestión de la superficie de ataque y la corrección rápida. A medida que la inteligencia artificial acelera la detección de vulnerabilidades, las organizaciones pueden disponer de menos tiempo entre la divulgación y el intento de explotación.
¿Cuál es la lección clave que se desprende de PHP2Shell?
Las vulnerabilidades más peligrosas no siempre son las nuevas. Algunas pueden llevar años existiendo, ocultas en software de uso generalizado, hasta que nuevas tecnologías, como el análisis basado en la inteligencia artificial, facilitan su detección. Las organizaciones que sean capaces de identificar rápidamente su exposición y responder estarán en mejor posición para gestionar esta nueva realidad.
