“PHP2Shell”: la falla que obliga a medio internet a parchear de emergencia y pone el costo de la deuda tecnológica sobre la mesa

Cuando la Fundación PHP publicó el 21 de octubre de 2026 los parches de emergencia para “PHP2Shell”, miles de empresas, comercios en línea y oficinas públicas entraron en una carrera contrarreloj: actualizar sus sistemas o bajar sus sitios hasta poder hacerlo. Las dos fallas, CVE-2026-109618 y CVE-2026-109619, tienen severidad 9.2 sobre 10 y permitirían tomar un servidor sin iniciar sesión.

El problema es económico antes que técnico. PHP mueve cerca del 70% de los sitios web, incluidos millones de tiendas en línea, portales de servicios y páginas construidas con WordPress, Drupal y Joomla. Cada hora sin parchear es una ventana para los atacantes: Cloudflare reportó millones de intentos de explotación tras la divulgación, y la NSA y el FBI de Estados Unidos advirtieron del riesgo de robo de datos y toma total del servidor.

La divulgación se adelantó un día por una filtración en un foro de hackers el 20 de octubre. En Europa, sitios de gobiernos de Alemania, Francia y Finlandia se desconectaron por prevención, con el costo que eso implica en servicios detenidos y atención al público interrumpida.

Las fallas llevaban más de una década escondidas en el código y solo salieron a la luz cuando modelos de inteligencia artificial (GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google, con investigadores de Wiz y Calif) lograron convertir errores viejos en un exploit funcional. Es la primera crisis de internet a escala descubierta y mitigada con IA.

Para las empresas, la lección es clara y tiene precio: la deuda tecnológica, el código viejo que nadie revisa, se paga de golpe, en horas de emergencia, servicios caídos y riesgo de reputación. Los parches ya existen (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35); lo que falta en muchos casos es aplicarlos.