Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, permiten potencialmente ejecutar código malicioso de forma remota sin necesidad de autenticación y han recibido una puntuación de gravedad de 9,2 sobre 10, lo que ha llevado a organismos públicos y empresas de distintos países a desconectar temporalmente sus páginas mientras aplican las actualizaciones de seguridad. En España, el Ministerio para la Transformación Digital ha recomendado a las entidades públicas y privadas actualizar inmediatamente sus sistemas, mientras que el Instituto Nacional de Ciberseguridad (INCIBE) ha publicado una alerta de nivel crítico.
La amenaza, denominada PHP2Shell, afecta a una tecnología presente en aproximadamente el 70%-75% de las páginas web cuyo lenguaje puede identificarse. Además, PHP constituye una pieza fundamental de plataformas como WordPress, responsable de alrededor del 40% de los sitios de Internet, así como de aplicaciones y servicios desarrollados con MediaWiki y Symfony.
La gravedad de estas vulnerabilidades reside en la posibilidad de que un atacante envíe instrucciones a un servidor vulnerable y consiga ejecutar código sin disponer de credenciales de acceso. Esta capacidad puede facilitar el robo de información, la modificación de páginas web, la instalación de programas maliciosos o el control del servidor afectado.
Aunque ambas vulnerabilidades comparten consecuencias, su origen técnico es diferente. La CVE-2026-109618 está relacionada con errores en la gestión de memoria durante el procesamiento de determinadas peticiones, mientras que la CVE-2026-109619 afecta al tratamiento de información interna entre solicitudes consecutivas. El riesgo en ambos casos es especialmente elevado en instalaciones que utilizan Apache mod_php, aunque determinadas configuraciones con PHP-FPM también pueden quedar expuestas.
Además, la detección de estos fallos ha puesto de manifiesto el papel creciente de la inteligencia artificial en la investigación de vulnerabilidades. Según la información publicada, investigadores de Wiz, compañía de ciberseguridad propiedad de Google, utilizaron parcialmente herramientas de IA para identificar los problemas. Posteriormente, OpenAI habría participado en la confirmación de los hallazgos y en el desarrollo de las correcciones mediante su modelo GPT-5.6 Sol.
La gravedad de la situación ha llevado a una respuesta internacional inmediata con la suspensiones preventivas de numerosos servicios digitales. En Alemania, el proveedor federal ITZBund ha retirado varias páginas, mientras que Francia ha desactivado temporalmente los portales de sus prefecturas.
También se han registrado medidas similares en Bélgica, Países Bajos, Finlandia y Chequia. Asimismo, las autoridades de Australia, Japón y Reino Unido han recomendado actualizar urgentemente los servidores afectados.
Estas interrupciones responden principalmente a criterios preventivos y no implican necesariamente que los sistemas hayan sufrido una intrusión. No obstante, Cloudflare ha comunicado la detección de intentos tempranos de explotación de las vulnerabilidades.
En España, INCIBE ha advertido de la existencia de ataques anteriores a la publicación de las correcciones y ha instado a comprobar las versiones instaladas en todos los sistemas expuestos a Internet.
En este sentido, los desarrolladores de PHP han publicado cuatro versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para las ramas antiguas 7.4, 8.0 y 8.1, que carecen de soporte regular, también se han facilitado parches específicos de código fuente.
Además de instalar las actualizaciones, las autoridades recomiendan revisar los registros de actividad y detectar comportamientos anómalos, como la ejecución inesperada de comandos o la descarga de archivos.
Desde el INCIBE insisten en que las soluciones provisionales no sustituyen a los parches de seguridad. En su aviso, el organismo señala que “las medidas temporales reducen la exposición a rutas concretas, pero la actualización es la única solución completa. Si no puede actualizar un sistema expuesto a Internet, aíslelo de las redes públicas hasta aplicar una versión corregida”.
De este modo, la prioridad para administradores de sistemas, proveedores de alojamiento y responsables de infraestructuras digitales pasa por identificar las instalaciones vulnerables y aplicar las correcciones antes de restablecer los servicios afectados.