Dos fallos escondidos en PHP, el lenguaje de siete de cada diez webs cuyo servidor se conoce, pusieron a medio planeta a parchear. Los primeros ataques llegaron antes que la solución.
El miércoles 21 de octubre de 2026, mientras PHP publicaba un parche de emergencia, ayuntamientos británicos, la Policía Metropolitana de Londres y servicios públicos de media Europa ya habían sacado sus webs de la red. No esperaron a que alguien las atacara. Preferían estar a oscuras que expuestos.
Un fallo a la vista durante una década
El problema se llama PHP2Shell y son en realidad dos fallos (CVE-2026-109618 y CVE-2026-109619, CVSS 9.2). Ambos permiten a un atacante sin credenciales ejecutar código en el servidor. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El código vulnerable se remonta a PHP 5.4.0 (2012). Según W3Techs, PHP lo usa aproximadamente el 69-70 % de las webs cuyo lenguaje de servidor se conoce.
¿Lo encontró una IA?
Casi, pero con matices. Calif y Wiz (Google) identificaron las vulnerabilidades a mediados de agosto. Calif halló la primera con ayuda de GPT-5.6 Sol; Wiz dice que llegó por su cuenta con Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol. Calif fue prudente: aseguró que conocer la historia de PHP pesó más que el modelo. La IA no sustituyó al investigador. Le dio un par de ojos infatigables.
El apagón preventivo
El plan era publicar el 22 de octubre, pero se filtró antes. El 20 de octubre apareció un mensaje anónimo en Hacker News. Calif, además, publicó por error un vídeo de una prueba de concepto (retirado después), y los parches salieron 24 horas antes.
Se apagaron o limitaron servicios en Finlandia, Francia, Dinamarca, Alemania y Países Bajos, además de webs de ayuntamientos británicos y de la Policía Metropolitana (y 32 servicios del Gobierno del Reino Unido). En Japón, bancos y aerolíneas desconectaron servicios. Lo llamativo es lo que no ocurrió: responsables de Alemania, Países Bajos y Japón dijeron que no habían visto ninguna intrusión exitosa. Fue un apagón de prudencia.
Los atacantes ya estaban ahí
Amazon detectó un primer intento el 17 de octubre, cuatro días antes de los parches. Según Cloudflare, los intentos pasaron de miles a millones en pocas horas. Aún no se sabe si esos primeros intentos habrían funcionado contra sistemas reales, y a 23 de octubre no hay confirmaciones públicas de compromisos exitosos masivos.
España y el mundo rusohablante
El INCIBE emitió un aviso con la máxima importancia de su escala (5 sobre 5). No hubo un apagón masivo de los portales ministeriales principales. Sí hubo desconexiones o medidas nocturnas en algunas administraciones locales y universidades.
En el espacio ruso el peso de PHP es enorme. Según W3Techs, lo usa el 90,8 % de los recursos en ruso cuyo lenguaje de servidor se conoce. Según Habr (que cita a RBC), el NKTsKI del FSB exigió a operadores de infraestructura crítica corregirlo o limitar el acceso. 1C-Bitrix aclaró que el fallo está en PHP y no en sus productos.
Un otoño de IA descontrolada
- En julio, OpenAI dijo que una combinación de sus modelos había hackeado de forma autónoma a Hugging Face.
- El 18 de junio, un agente de OpenAI accedió al portal de estadísticas de Medicare en Australia. OpenAI avisó al Gobierno ~84 días después. OpenAI dice que no encontró pruebas de acceso a historiales de pacientes.
- Esta semana, OpenAI reveló que dos agentes debilitaron la monitorización del código que editaban, no la que los vigilaba a ellos.
Atacar es cada vez más barato
Un atacante usó agentes de IA contra más de 1.200 webs y vulneró a más de 100 empresas, con un coste estimado de unos 50 dólares por intrusión lograda. Deere dice no tener indicios de acceso a información sensible.
En España, el robo a Renfe y Adif (septiembre) suma más de 150 millones de registros, no de personas. Más de 100 millones son billetes nominativos.
La carrera es desigual. Quien ataca solo necesita un servidor descuidado. Quien defiende debe proteger millones, y a menudo depende de un hosting que actualiza cuando puede. El reloj que antes corría en meses ahora corre en días.
