Dos vulnerabilidades críticas en PHP, apodadas conjuntamente PHP2Shell, han provocado un aumento en los intentos de explotación que el CEO de Cloudflare, Matthew Prince, describió como un salto de miles a millones en cuestión de horas tras la publicación oficial de los parches.

Los fallos, catalogados como CVE-2026-109618 y CVE-2026-109619, fueron parcheados el miércoles 21 de octubre. Según Prince, la propia red de Cloudflare registró un repunte en los intentos de ataque casi de inmediato tras la publicación de las correcciones, cuando actores oportunistas se apresuraron a explotar los servidores que aún no habían sido actualizados.

Pruebas recabadas por separado apuntan a que la explotación comenzó antes de la divulgación oficial. Los primeros intentos contra servidores vulnerables a estos dos CVE se registraron el 17 de octubre, cuatro días antes de la publicación del parche. Según los datos disponibles, esos primeros rastreos tuvieron como objetivo entornos de prueba y procedían de una red comercial de anonimización. Los detalles de los fallos subyacentes se filtraron después en internet el 20 de octubre, un día antes del parche oficial, lo que dio a los atacantes una ventana adicional para prepararse antes de que la corrección se hiciera pública.

Amazon ha publicado un informe de seguridad sobre la primera oleada de ataques, en el que documenta el patrón de actividad previo al ciclo formal de divulgación y parcheo.

Magnitud de la exposición

La magnitud de la población vulnerable es considerable. Las firmas de escaneo de internet Censys y VulnCheck calculan que entre 1,5 y 2,6 millones de servidores expuestos a internet siguen ejecutando versiones de PHP sin parchear afectadas por estos fallos. Por separado, se estima que más de 800.000 máquinas ejecutan versiones de PHP que ya han llegado al final de su vida útil, lo que significa que no recibirán actualizaciones oficiales de seguridad independientemente del ciclo de parcheo actual.

Para las organizaciones europeas, estas cifras de exposición son relevantes porque PHP sigue estando ampliamente extendido en la infraestructura web del continente, incluidos operadores del sector público e institucional que a menudo ejecutan pilas de software más antiguas. La rapidez con la que escalaron los intentos de explotación tras la publicación del parche pone de relieve la velocidad con la que las herramientas de escaneo automatizado pueden convertir un fallo divulgado en un arma una vez que se hace público, dejando una ventana estrecha para que los administradores apliquen las correcciones antes de que los servidores sean atacados a gran escala.

La PHP Foundation, que mantiene el lenguaje, publicó los parches que abordan ambos CVE. El material revisado para este reportaje no detalla orientación técnica adicional más allá de la publicación del parche.