La IA descubrió las vulnerabilidades ocultas de PHP. ¿Está preparado su SOC para lo que viene?

Si su organización utiliza sitios web, es muy probable que PHP esté presente en algún punto de la infraestructura. El 21 de octubre de 2026, el proyecto PHP publicó correcciones de emergencia para dos vulnerabilidades críticas conocidas ahora como PHP2Shell. En cuestión de horas, gobiernos, hospitales y organizaciones de renombre desconectaron sitios web mientras sus equipos aplicaban los parches.           

Los titulares fueron impactantes, y parte de esa preocupación está justificada. Pero PHP2Shell también es una historia sobre lo que funciona. Las organizaciones que gestionaron bien la situación sabían exactamente qué estaban ejecutando, aplicaron los parches con rapidez, verificaron los cambios y supervisaron de cerca sus registros. Todas estas capacidades pueden desarrollarse mediante formación adecuada, y en este artículo veremos cómo.

¿Qué es PHP2Shell? (explicado de forma sencilla)

PHP es el lenguaje de programación que impulsa aproximadamente siete de cada diez sitios web cuyo lenguaje del lado del servidor puede identificarse, incluidos sitios basados en WordPress, Drupal, Joomla y Magento. PHP2Shell es el nombre dado a dos vulnerabilidades en el propio PHP, identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una calificación de gravedad de 9,2 sobre 10.

Ambas vulnerabilidades permiten que un atacante ejecute código propio en un servidor web sin necesidad de autenticarse. Como se encuentran en PHP y no en un sitio web específico, actualizar un gestor de contenidos o sus complementos no es suficiente para solucionarlas. Es imprescindible actualizar el propio intérprete de PHP.

La magnitud del problema es enorme. Palo Alto Networks identificó más de 22,6 millones de instancias expuestas potencialmente vulnerables, y muchas de ellas ejecutan versiones de PHP demasiado antiguas para recibir actualizaciones oficiales.

¿Qué ocurrió y con qué rapidez?

La cronología muestra lo poco que hoy en día se tarda entre el descubrimiento de una vulnerabilidad y su explotación.

Las vulnerabilidades habían permanecido ocultas en el código de PHP durante más de una década. Fueron descubiertas con la ayuda de modelos de IA, y eso explica en parte por qué el tiempo entre el descubrimiento y los ataques fue tan reducido.

¿Por qué este tipo de ataques parece diferente ahora?

El principal cambio es la velocidad. La IA está ayudando a los investigadores a descubrir vulnerabilidades antiguas más rápidamente, y también está facilitando que los atacantes las conviertan en exploits funcionales en menos tiempo. Como señaló Ismael Valenzuela, de Arctic Wolf: “la cuestión ya no es cuánto tarda en llegar un parche, sino con qué rapidez puedes detectar la exposición y evitar que un sistema comprometido termine convirtiéndose en muchos”.

Durante la misma semana se observó un ejemplo de cómo son los ataques a velocidad de máquina. Unit 42 de Palo Alto Networks informó sobre un ataque contra una agencia gubernamental europea a través de una aplicación PHP vulnerable. Los atacantes obtuvieron hashes de contraseñas y secretos de autenticación multifactor en menos de dos horas. Unit 42 detectó indicios sólidos de que el ataque estaba siendo ejecutado por un agente de IA y no por una persona. Más tarde aclaró que no podía confirmar que PHP2Shell hubiese sido el vector de entrada.

Independientemente del punto de acceso utilizado, la lección es clara. Un atacante humano puede tardar días en avanzar desde un servidor web hasta sistemas críticos de la organización. Un atacante automatizado puede lograrlo en una sola tarde. Las defensas que dependen de que alguien revise una alerta a la mañana siguiente ya no son suficientes.

Cinco medidas que debe tomar ahora mismo

La buena noticia es que la solución ya está disponible y las acciones necesarias son bien conocidas. Si sus equipos completan estos cinco pasos, cerrarán la brecha inmediata y estarán mejor preparados para la siguiente amenaza.

1. Actualice PHP, no solo su sitio web. Migre a una versión corregida, reconstruya las imágenes de contenedores y reinicie servidores web y procesos PHP para asegurar que la corrección se aplica realmente. Verifique la versión en ejecución, no solo la instalada.
2. Localice las instancias de PHP que desconocía. Equipos especializados, paneles de hosting, imágenes cloud y productos de terceros suelen incluir PHP. Solicite a sus proveedores la confirmación de su estado de actualización.
3. Mantenga aislada la capa web. Los servidores web no deberían poder comunicarse directamente con servicios de directorio ni controladores de dominio. Restrinja las conexiones posibles tanto dentro como fuera de la red.
4. Asuma que las credenciales pueden haber estado expuestas. Si un servidor PHP permaneció sin actualizar después del 17 de octubre, cambie las contraseñas de bases de datos, credenciales de cuentas de servicio y claves API accesibles desde ese entorno, además de volver a registrar cualquier secreto de autenticación almacenado.
5. Revise el pasado, no solo el futuro. Conserve los registros y revíselos en busca de indicadores de compromiso previos, como procesos iniciados por PHP, solicitudes de carga inusuales o fallos repetidos de procesos de trabajo. Aplicar el parche con éxito no debería cerrar la investigación por sí solo.

¿Cómo puede ayudar Global Knowledge a sus equipos?

Aplicar el parche soluciona este problema concreto. El siguiente llegará de la misma forma, y el margen entre la divulgación y el ataque ya se mide en horas. Lo que limita el impacto son las personas que saben qué buscar en cada etapa, desde el servidor expuesto hasta la sala de juntas.

En Global Knowledge ofrecemos programas de formación en ciberseguridad impartidos por instructores y alineados con cada una de esas fases.

 Todos los cursos se imparten en directo por profesionales en activo y, en la mayoría de los casos, preparan para certificaciones reconocidas internacionalmente. Se ofrecen en modalidad online, presencial o privada para organizaciones, permitiendo que los equipos se formen juntos en las áreas donde más lo necesitan.

La próxima vulnerabilidad llegará. Sus equipos pueden estar preparados.

Greg Brockman, de OpenAI, ha señalado que espera que se descubran muchas más vulnerabilidades similares en los próximos meses. Esto no es motivo de alarma, sino una razón para garantizar que quienes gestionan su infraestructura web, sus sistemas de identidad y sus operaciones de seguridad sepan exactamente cómo actuar cuando llegue la siguiente alerta.

¿No está seguro de dónde se encuentran las brechas de conocimiento en su organización? Hable con nuestro equipo. Podemos analizar las capacidades de sus equipos de infraestructura web, identidad y operaciones de seguridad frente a las fases descritas anteriormente y recomendar una ruta de aprendizaje adaptada a su forma de trabajar.

 _Fuentes

• _{Unit 42 threat brief: Critical vulnerabilities in PHP, CVE-2026-109618 and CVE-2026-109619 (updated 25 October)}
• _{iTWire: PHP2Shell, the 14-year-old bugs that pulled government sites worldwide offline}