El 21 de octubre de 2026 el proyecto PHP publicó parches de emergencia para dos fallas de ejecución remota de código (RCE) con CVSS v4.0 de 9.2. Apodadas PHP2Shell, llevan años en el lenguaje, y su explotación práctica era tan compleja que nadie la había demostrado: los investigadores dicen que los modelos de IA de frontera redujeron esa barrera.
Qué son CVE-2026-109618 y CVE-2026-109619
Son dos errores de seguridad de memoria en el motor de PHP, ambos con puntuación 9.2 en CVSS v4.0. Según Help Net Security, el primero (CVE-2026-109618) es una RCE por corrupción tras falta de memoria (OOM): si PHP se interrumpe por falta de memoria mientras los datos internos de la petición están solo parcialmente inicializados, la limpieza posterior puede tratar esos datos inválidos como válidos. El segundo (CVE-2026-109619) es una RCE por estado global obsoleto: estado interno propio de una petición sobrevive después de liberar su memoria, y una petición posterior en el mismo worker puede usarlo antes de que la inicialización normal lo reinicie.
Un detalle clave: según el mismo reporte, un exploit funcional reportadamente necesita una sola petición sin autenticación, y se dispara antes de que corra cualquier código de la aplicación. Eso significa que WordPress, Laravel o un sitio hecho a mano son igual de alcanzables: el fallo está debajo de ellos.
Qué versiones y qué parches
CERT-EU indicó que las fallas podrían afectar todas las versiones desde PHP 5, aunque, según CyberScoop, el proyecto PHP no confirmó oficialmente la causa técnica ni la lista completa de versiones afectadas al momento de la publicación. Las distribuciones de Linux y los proveedores LTS recibieron los parches antes del lanzamiento público: la vía más rápida es el paquete de tu proveedor.
El papel de la IA: de décadas de latencia a cadena de explotación
Wiz describió las fallas como antiguas y difíciles de explotar: demostrar que eran aprovechables requería una cadena inusualmente compleja de pasos. Según CyberScoop, la firma de seguridad Calif las encontró con GPT-5.6 Sol de OpenAI, y Wiz las descubrió y reportó de forma independiente usando GPT-5.6 Sol, su herramienta Atlas y Gemini 4 Argon de Google. Wiz afirma que, con IA, esa dificultad "ya no es una barrera". OpenAI dijo esperar más hallazgos de este tipo en los próximos meses y ofreció una herramienta gratuita para identificar versiones vulnerables.
La lectura para defensores es incómoda: si un modelo puede armar la cadena de explotación de un fallo de hace décadas, el costo de convertir un parche en un exploit baja para cualquiera, también para atacantes.
Filtración, explotación previa y exposición
Sobre cuántos sistemas están expuestos, las cifras varían según el método: investigadores estimaron más de 1,3 millones de hosts expuestos a internet y una búsqueda en Shodan contó unos 1,9 millones; VirusTotal halló unos 758.000 servidores en ramas sin soporte (5.4 a 8.1) frente a 272.000 en ramas con soporte. El titular de "70% de internet" proviene de la cuota de PHP entre los sitios cuyo lenguaje de servidor es conocido (se estima en 70-80%), no de que 70% esté comprometido. CISA, al momento de los reportes, decía no haber observado explotación; varios proveedores veían sobre todo reconocimiento. Circula código de exploit no verificado, y las firmas de seguridad advierten que puede contener malware.
Qué hacer esta semana
- Inventariá todo lo que corra PHP, incluidos WordPress, CRM, portales de clientes y paneles internos, y los contenedores que lo traigan embebido.
- Actualizá a 8.5.12, 8.4.27, 8.3.36 u 8.2.35, o pedí el paquete con backport a tu proveedor. Si corrés 8.1 o anterior, tenés además una deuda de versión.
- Si no podés parchar hoy, el NCSC del Reino Unido recomienda sacar de línea el sistema; Cloudflare activó reglas WAF iniciales en todos sus planes, pero son un paliativo, no un reemplazo del parche.
- No ejecutes "PoCs" que circulan en foros: pueden ser malware.
- Asumí que el ciclo entre parche y exploit se acorta: automatizá el despliegue de actualizaciones críticas.
Si necesitás ayuda para priorizar un inventario de exposición o diseñar un proceso de parcheo acelerado, escribinos a info@guatemalia.com.