PHP2Shell: la IA ayudó a encontrar una RCE crítica en PHP

¿Qué es PHP2Shell?

PHP2Shell es un par de vulnerabilidades de PHP en el manejo de memoria que convierten una solicitud fallida en ejecución remota de código (RCE). RCE significa que un atacante puede ejecutar sus propios comandos en el servidor. Los dos avisos de seguridad oficiales califican los fallos con 9,2 en CVSS v4.0, el Common Vulnerability Scoring System, que mide la severidad de 0 a 10.

La IA ayudó a encontrar PHP2Shell

Lo más llamativo de este caso es cómo se encontró. Los investigadores usaron un modelo avanzado de IA en su trabajo, sobre un fallo que llevaba al menos una década en PHP. Esto muestra hasta dónde llega hoy la IA en la investigación de vulnerabilidades.

En Fluid Attacks vemos la IA como una forma de apoyar la investigación de vulnerabilidades y reducir el tiempo de detección. Hallazgos como PHP2Shell muestran lo que puede hacer, y lo hemos vivido de primera mano: nuestros analistas revisaron 1.006 hallazgos de nuestro AI SAST, 28 se convirtieron en candidatos a CVE y, a junio de 2026, 12 ya eran advisories públicos.

Nuestro AI SAST primero divide una base de código en unidades más pequeñas, para que un análisis más profundo se concentre en menos rutas. Lo usamos como herramienta de descubrimiento, no como un sistema autónomo de divulgación: un analista revisa cada flujo reportado antes de que se convierta en candidato.

La velocidad también ayuda al atacante. Cloudflare vio tráfico de ataque contra sus clientes después de que se filtraron los detalles, y los atacantes cambiaron sus payloads para evadir sus reglas.

Hallazgos como este serán cada vez más comunes, y el tiempo para corregir importará cada vez más. Explicamos por qué se acorta la brecha entre la divulgación y el ataque en nuestro artículo sobre cómo cerrar la ventana de exposición.

¿Cómo funciona PHP2Shell?

Las dos vulnerabilidades de PHP empiezan con una solicitud que falla a mitad de camino, por ejemplo, cuando se queda sin memoria. Entonces PHP deja la memoria en un estado roto, y un atacante que controla ese momento puede convertirlo en RCE. CVE-2026-109618 daña la memoria dentro de la solicitud fallida. CVE-2026-109619 deja punteros que una solicitud posterior en el mismo worker de PHP lee cuando esa memoria ya no existe.

¿Qué versiones de PHP corrigen PHP2Shell?

Las versiones parcheadas corrigen CVE-2026-109618 y CVE-2026-109619 en PHP 8.2 a 8.5. Para las ramas anteriores, el proyecto PHP no publicó ninguna versión oficial.

Fin de vida (EOL, por sus siglas en inglés) significa que el proyecto PHP ya no publica actualizaciones de seguridad para esa rama. Después de actualizar, reinicia cada worker de PHP y reconstruye tus imágenes de contenedor.

Cómo verificar si estás expuesto a PHP2Shell

Verifica la versión de PHP en cada host y en cada imagen de contenedor. El binario de línea de comandos puede ser distinto del que usa el servidor web:

php -v                                            # host
docker run --rm --entrypoint php my-image:tag -v  # container image

En Fluid Attacks ya incorporamos ambas vulnerabilidades de PHP a nuestra detección, y nuestros clientes las ven reportadas en nuestra plataforma. En nuestra base de datos de vulnerabilidades, FLAT-3LKKV para CVE-2026-109618 y FLAT-QMKZU para CVE-2026-109619 listan los rangos de versiones afectadas y, cuando están disponibles, las versiones parcheadas. Cada equipo puede ver a qué versión actualizar.

Preguntas frecuentes

¿PHP2Shell afecta a WordPress?

Un sitio de WordPress está expuesto si su runtime de PHP está en una versión vulnerable. Cloudflare señala que actualizar el código del sitio o los plugins no corrige los fallos. Actualiza PHP o pregúntale a tu proveedor de alojamiento qué versión usa tu sitio.

¿Es PHP2Shell el próximo Log4Shell?

Ambos son fallos críticos de RCE en software que está debajo de una gran parte de la web. PHP se usa en el 69,3 % de los sitios web cuyo lenguaje del lado del servidor conoce W3Techs. Log4Shell necesitó varias versiones de seguimiento antes de que su corrección fuera completa, como muestra nuestra cronología de Log4Shell. PHP publicó una sola corrección por cada rama con soporte. El riesgo abierto está en las ramas EOL.

¿Un WAF protege contra PHP2Shell?

Un firewall de aplicaciones web (WAF) reduce el riesgo, pero no lo elimina. Cloudflare describe sus reglas de WAF como una capa de defensa en profundidad y les pide a sus clientes parchear estas vulnerabilidades de PHP aun con esas protecciones activas.

Encuentra PHP2Shell antes que un atacante

Fluid Attacks ya reporta ambos CVE a sus clientes, y puedes revisar tus propias aplicaciones hoy con una prueba gratuita de 21 días. Contáctanos