El ecosistema que sostiene buena parte de la web está en cuenta atrás. El equipo de seguridad de PHP ha convocado un lanzamiento extraordinario de parches para el miércoles 21 de octubre a las 14:00 UTC (10:00 de la mañana en la costa este estadounidense, 16:00 en Europa central) con el objetivo de cerrar dos vulnerabilidades críticas, ambas valoradas con 9,2 sobre 10 según CVSS v4.0. La advertencia llega después de que detalles de unos fallos que permanecían bajo embargo aparecieran en foros públicos, lo que ha precipitado los planes de publicación.
- Dos fallos con nota 9,2: el equipo de PHP publicará las correcciones el 21 de octubre a las 14:00 UTC, antes de lo previsto inicialmente.
- Filtración de por medio: un mensaje en Hacker News y una herramienta de explotación bautizada como PHP2Shell adelantaron parte de la información.
- Impacto masivo: PHP mueve WordPress, Drupal, Magento, Shopware o WooCommerce, además de la mayoría del hosting compartido.
Ejecución remota de código bajo un embargo roto
La nota oficial publicada por el equipo de mantenimiento no identifica el tipo de fallo, los identificadores CVE ni las versiones afectadas, y remite a la fecha del 21 de octubre para conocer todos los detalles técnicos. Sin embargo, la firma de pruebas de seguridad watchTowr confirmó que se trata de vulnerabilidades de ejecución remota de código (RCE) registradas como CVE-2026-109618 y CVE-2026-109619, que afectarían a PHP 5, 6, 7 y 8. La compañía asegura haber reproducido con éxito la primera de ellas, aunque no publicará información técnica hasta que existan parches disponibles.
“En la última hora se han filtrado dos vulnerabilidades de ejecución remota de código en PHP. Estas vulnerabilidades estaban previamente programadas bajo embargo y debían publicarse el jueves a las 11 de la mañana, hora del Este”, declaró Benjamin Harris, consejero delegado de watchTowr. “Podemos confirmar que son reales”.
El origen de la filtración se sitúa en una publicación ya eliminada del foro Hacker News, firmada por el usuario petecooper el 20 de octubre a las 15:20 UTC, que citaba una “fuente fiable” para anunciar dos fallos de RCE con una puntuación de 10,0 y alcance desde PHP 5. Junto al aviso circuló la captura de una herramienta de explotación llamada PHP2Shell, atribuida a Calif.IO, cuyo rótulo afirma funcionar contra todas las versiones de PHP desde la 5.4.0. También aparecieron referencias a que únicamente PHP 8 recibiría parches oficiales, ya que las ramas 5 y 7 están sin soporte desde hace años.
Una discrepancia de severidad que importa
Conviene subrayar un matiz: las filtraciones hablaban de CVSS 10,0, mientras que el equipo de PHP ha asignado 9,2 bajo CVSS v4.0. Tampoco coinciden los calendarios: watchTowr aludía a una divulgación prevista para el jueves, mientras que la versión oficial se adelanta al miércoles. Los investigadores han aclarado que no han observado explotación activa en entornos reales y que los fallos no figuran en el catálogo de vulnerabilidades explotadas conocidas de CISA; tampoco existe un workaround antes del parche.
Sobre el alcance, el aviso de PHP solo cubre las ramas 8.2 a 8.5, las únicas con soporte en la actualidad. Cualquier servidor anclado en PHP 8.1 o anterior no recibirá una corrección oficial y dependerá de que su proveedor aplique un backport o de una migración urgente. Las últimas versiones de seguridad publicadas fueron las 8.5.11, 8.4.26, 8.3.35 y 8.2.34, distribuidas el 24 de septiembre.
Qué hacer antes del miércoles
El mensaje del equipo de mantenimiento es inequívoco:
“Se anima a todos los usuarios de PHP a prepararse ahora para poder actualizar en cuanto la versión esté disponible. Nos reservamos el derecho de publicar antes si los detalles de cualquiera de las dos vulnerabilidades se hacen públicos o si aparece evidencia de explotación activa”.
La recomendación técnica es contundente: la corrección debe aplicarse a nivel de infraestructura, actualizando el intérprete de PHP en el servidor, y no desde el código de la tienda o del CMS. Quien no gestione su propio stack debería contactar hoy con su proveedor de hosting para que tenga el parche listo. Los analistas advierten de que, una vez publicadas las correcciones y conocidos los detalles, las oleadas de ataque podrían comenzar en cuestión de minutos, por lo que los administradores deberían inventariar ya qué versión ejecuta cada servidor y planificar la migración de cualquier instancia residual en PHP 5 o 7.
El episodio deja una lección que trasciende a este par de CVE: la web depende de una capa de infraestructura que la mayoría de las organizaciones nunca toca directamente. Un fallo en el núcleo de PHP no se mitiga con un plugin ni con una regla de aplicación, sino con disciplina operativa y visibilidad real del inventario. La ventana entre la publicación del parche y el primer intento de explotación será, muy probablemente, la más corta del año para miles de sitios que todavía no saben qué versión de PHP están ejecutando.