IA PARA TU DÍA — October 22, 2026 -
PHP2Shell: dos fallas críticas ponen en alerta a la web
Si tienes un sitio web o una tienda en línea, la pregunta de hoy es si tu proveedor ya actualizó PHP.
por Julius Aguirre
Buenos días. Hoy producimos La Señal desde Expo Cúspide, en Querétaro. Y hay una actualización que no conviene aplazar: PHP tiene un parche nuevo y ya hay quien intenta aprovechar la falla.
SEÑAL DEL DÍA
PHP corrigió dos fallas críticas que pueden permitir ejecutar código en un servidor sin iniciar sesión; ya hay intentos de explotación documentados y el parche es la única solución completa.
Qué pasó
El 21 de octubre, el proyecto PHP publicó actualizaciones para dos fallas críticas conocidas como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Según OpenAI, la firma Calif encontró una de ellas con apoyo de un modelo de OpenAI y Wiz reportó ambas por su cuenta. Calif cuenta que un investigador guiaba al modelo.
AWS registró en una trampa de monitoreo un intento de explotación desde el 17 de octubre, antes del anuncio, y dice que no sabe si habría funcionado en sistemas reales. Cloudflare también vio tráfico atacante y activó protecciones. Ninguno presenta víctimas comprometidas.
Las versiones corregidas son 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Para versiones anteriores hay correcciones de código fuente y, según la distribución, paquetes corregidos, como Ubuntu.
POR QUÉ IMPORTA
PHP es el motor que ejecuta el código de muchos sitios y tiendas en línea, entre ellos los hechos con WordPress. Como la falla está en el motor, actualizar tu tema o tus complementos no la corrige: hay que actualizar PHP, explica Cloudflare.
En términos sencillos: si PHP se queda sin memoria a mitad de una petición, puede dejar datos a medias, y alguien podría aprovechar ese descuido para ejecutar instrucciones en el servidor. Calif aclara que algunas rutas dependen de cómo esté armada cada aplicación.
Por eso Países Bajos desconectó por precaución servicios como DigiD, y la NSA pide actualizar ya. Ninguno de los dos avisos reporta intrusiones.
LLÉVALO A TU DÍA
Si tienes sitio web o tienda en línea, pregúntale hoy a quien administra tu hosting si ya aplicó la corrección de PHP2Shell. No basta con una versión: aun si usa una anterior, debe confirmar que tiene la corrección, por ejemplo con parches de su distribución. Corregidas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Si no puede corregirse o mitigarse a tiempo, la NSA recomienda poner el sistema fuera de línea; gestiónalo con tu responsable técnico. Cloudflare no sustituye el parche. Guía general, no asesoría profesional.
■ MI LECTURA
Lo que más me llama la atención no es que una IA ayudara a encontrar la falla. Según el propio relato de Calif, fue una persona que conocía la historia de PHP y sabía qué preguntar; el modelo aceleró la búsqueda. Esa misma aceleración, advierte AWS, acorta el tiempo entre un parche y un ataque.
Para quien dirige un negocio, la conclusión es incómoda. La adopción de IA no empieza ni termina con elegir herramientas. También exige mantener segura la infraestructura sobre la que opera tu negocio.
-Julius
■ OTRAS SEÑALES
→ Anthropic presenta Claude Duet — Es una app donde Claude actúa como agente personal: prepara un resumen cada mañana y hace tareas, pero pide tu aprobación antes de enviar mensajes, pagar, firmar o borrar. Por ahora es vista previa con lista de espera, solo para suscriptores Pro y Max en EE. UU. Transparencia: usamos Claude en nuestro proceso editorial.
→ OpenAI llevará sus modelos y Codex a Google Cloud — Según Axios, los clientes de Google Cloud podrán comprarlos con el gasto que ya tienen comprometido en esa nube y la disponibilidad general se prevé en las próximas semanas. No se informaron condiciones económicas.
→ Meta crea acciones sin voto para financiar su gasto en IA — La Clase C se repartirá a los accionistas actuales, una por acción, y se emitirá en enero de 2027; según Meta, servirá para captar capital y pagar talento sin diluir el voto actual. Sus ingresos del tercer trimestre fueron de 64,601 millones de dólares y sus costos y gastos subieron 68%.
¿Sabes quién actualiza el PHP de tu sitio web, y en qué versión está hoy?
FUENTES
Primarias
— PHP, aviso de seguridad y versiones 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (21 oct 2026) — enlace
— OpenAI, “Patch the Planet: global response coordination as agents uncover critical vulnerabilities” (21 oct 2026) — enlace
— Calif Research, “php2shell” — enlace
— NSA, “NSA Advisory: PHP Updates” (21 oct 2026) — enlace
— AWS Security Blog, “Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot” (21 oct 2026) — enlace
— Cloudflare, “Cloudflare deploys protections against php2shell vulnerability” (21 oct 2026) — enlace
— Gobierno de Países Bajos, “Aantal websites Rijksoverheid preventief offline na kwetsbaarheden PHP” (21 oct 2026) — enlace
— Ubuntu, “php2shell: PHP critical vulnerability fixes available” (21 oct 2026) — enlace
— Anthropic, “Introducing Claude Duet” (21 oct 2026) — enlace
— Meta, Form 8-K, resultados del tercer trimestre de 2026 (21 oct 2026) — enlace
Reportes periodísticos y de análisis
— Axios, “OpenAI brings AI models to rival Google Cloud” (21 oct 2026) — enlace
— TechCrunch, “Meta wants to pay for its broad AI buildout with a newly created class of stock” (21 oct 2026) — enlace
— Help Net Security, “PHP2Shell: Critical PHP vulnerabilities patched, update now!” (21 oct 2026) — enlace
