La Agencia de Seguridad Cibernética e Infraestructura (CISA) del Gobierno de Estados Unidos ha emitido un aviso urgente dirigido a todas las agencias federales para que apliquen de inmediato parches de seguridad que corrijan dos importantes vulnerabilidades en PHP, el conocido preprocesador de hipertexto usado ampliamente en desarrollo web.
Estas vulnerabilidades, catalogadas como CVE-2026-109618 y CVE-2026-109619, fueron añadidas a la base de datos de Vulnerabilidades Conocidas y Explotadas (KEV) el pasado 26 de octubre por la propia CISA. El organismo ha establecido como fecha límite el 29 de octubre para que las agencias de la Rama Ejecutiva Civil Federal (FCEB) implementen las actualizaciones recomendadas, y ha recomendado encarecidamente a todas las demás organizaciones que también sigan estos pasos tan pronto como sea posible.
De acuerdo a la alerta oficial de CISA, estas dos vulnerabilidades, conocidas bajo el nombre “php2shell”, permiten la ejecución remota de código sin necesidad de autenticación previa, afectando a todas las instalaciones de PHP que procesan solicitudes web, incluyendo configuraciones con Apache mod_php —consideradas de mayor riesgo— PHP-FPM, php-cgi, FrankenPHP y LiteSpeed. 
Las agencias federales están obligadas a actualizar sus sistemas a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35 de PHP para cumplir con el plazo establecido y cerrar estas brechas de seguridad.
El impacto global del exploit PHP2Shell
La divulgación de estas vulnerabilidades ha generado un movimiento frenético en la industria de la seguridad y en la administración de sitios web alrededor del mundo desde su descubrimiento a mediados de octubre. PHP es un lenguaje de programación prevalente en el desarrollo web, sustentando aproximadamente el 70% de las páginas de internet globales.
El 20 de octubre, el equipo mantenedor, The PHP Foundation, publicó un aviso alertando sobre las vulnerabilidades críticas y anunció un parche inminente desarrollado para corregir estas fallas.
Tras la publicación del parche el miércoles 25 de octubre, se registró una avalancha de intentos maliciosos de explotación. El CEO de Cloudflare, Matthew Prince, reveló que ya en las horas previas al anuncio público se detectaron miles de intentos de ataques, cifra que se elevó rápidamente a decenas de miles en los 45 minutos posteriores, llegando a cientos de miles en 2 horas y sumando millones poco después.
Recomendaciones de seguridad ante la amenaza
En el informe emitido, CISA aconseja a todas las organizaciones afectadas tomar medidas inmediatas para contener la exposición y proteger sus entornos:
- Realizar un inventario exhaustivo para identificar sistemas que ejecuten cualquier versión de PHP, ya que PHP suele ser un componente adjunto en diversas plataformas cuyos usos no siempre son evidentes.
- Aplicar el parche de forma prioritaria en sistemas expuestos a internet.
- Para aquellas organizaciones que no puedan actualizar de inmediato o sigan operando con PHP 8.1 o versiones anteriores ya no soportadas, se recomienda desconectar temporalmente estos sistemas hasta aplicar las actualizaciones pertinentes.
- La implementación de un firewall de aplicaciones web (WAF) puede ofrecer una protección temporal adicional mientras se efectúan las actualizaciones.
- Consultar el aviso oficial de seguridad de PHP para obtener indicaciones precisas sobre la corrección de las vulnerabilidades.
- Monitorizar de manera activa y continua el sistema en busca de actividades sospechosas, tales como la ejecución inesperada de procesos PHP o la descarga de herramientas externas maliciosas.
Expertos en seguridad, como Ramy Rahman de ArmorCode, reconocen que aunque el plazo para las agencias federales es ajustado, es factible cumplirlo si se cuentan con los recursos adecuados. Subraya que la mayor dificultad reside en la variedad de versiones y dependencias de PHP en uso actualmente, muchas de ellas obsoletas y que requieren un esfuerzo adicional de actualización o modificaciones en las aplicaciones relacionadas.
En casos donde la actualización no sea viable de inmediato, Rahman recomienda implementar controles compensatorios, tales como deshabilitar funciones vulnerables, restringir accesos y, como último recurso, desconectar sistemas inseguros hasta que puedan ser protegidos adecuadamente. Este último consejo ha sido respaldado también por otras agencias de ciberseguridad internacionales como CERT-EU y el Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC).
