PHP2Shell: por qué dos fallos en un lenguaje de 1995 han puesto en jaque al 70% de Internet

Esta semana, la web del Gobierno de Finlandia, la del ayuntamiento de Edimburgo, varios sistemas de la BBC y buena parte de la infraestructura de Wikimedia —la organización detrás de Wikipedia— estuvieron apagadas. No fue un ciberataque masivo ni un apagón eléctrico: fue una decisión deliberada. Miles de administradores de medio mundo desenchufaron sus portales a la vez, en una de las desconexiones coordinadas más extrañas que se recuerdan, para parchear un agujero descubierto en un lenguaje de programación que nació en 1995.

El agujero tiene nombre de película de serie B —PHP2Shell— y un apellido aún más inquietante: fue encontrado por una inteligencia artificial. Dos fallos críticos de gestión de memoria en PHP, el lenguaje que sostiene cerca del 70% de las páginas web del planeta, habían pasado desapercibidos durante más de una década. Cuando los modelos de OpenAI y Google los destaparon, la ventana entre «sabemos que existe» y «alguien lo explota» se redujo a casi cero.

Qué es PHP y por qué un fallo suyo es un fallo de Internet

PHP —originalmente Personal Home Page— es el lenguaje con el que se construye la parte «viva» de una web: la que consulta bases de datos, comprueba si has iniciado sesión, muestra tu carrito de la compra o publica la última entrada de un blog. Una web estática sirve siempre lo mismo; una web PHP genera contenido sobre la marcha. Y esa maquinaria mueve plataformas enteras: WordPress, Drupal o PrestaShop están escritos en PHP, igual que incontables tiendas online, portales de administración y sistemas de reserva.

De ahí la escala del problema. Según la NSA estadounidense, los fallos descubiertos «a menudo ofrecen acceso directo al sistema de archivos o a la base de datos del servidor»: en la práctica, permiten a un atacante ejecutar código remoto sin necesidad de contraseña ni autenticación, o leer información confidencial directamente de la memoria, incluidas credenciales. El CERT-EU, el equipo de respuesta informática de las instituciones europeas, lo confirmó en su alerta: las puntuaciones de riesgo indican «potencial de ejecución remota de código sin autenticación». Nigel Green, de la consultora deVere Group, lo traducía a dinero: «Dado que PHP sustenta una parte tan inmensa de la web, el riesgo podría extenderse a prácticamente cualquier lugar donde la gente realice pagos en línea».

Cómo encontró la IA lo que nadie vio en una década

El descubrimiento llegó a finales de agosto, en el marco de Patch the Planet, la iniciativa de OpenAI para competir con Anthropic en el terreno de la ciberseguridad. Investigadores de las empresas Wiz (propiedad de Google) y Calif pusieron a trabajar modelos de última generación —GPT-5.6 Sol, Gemini 4 Argon y la herramienta Wiz Atlas— sobre el código fuente de PHP. La máquina identificó dos brechas de gravedad máxima relacionadas con la gestión de la memoria y, lo más importante, demostró que eran explotables encadenando «una compleja serie de pasos, al límite de lo que los investigadores humanos podrían lograr en la práctica».

«Gracias a los modelos de IA de vanguardia y a las herramientas adecuadas, un solo investigador logró en una semana lo que anteriormente habría requerido meses de trabajo por parte de un equipo de primer nivel.» — Equipo de Wiz

Los fallos podían afectar a todas las versiones desde PHP 5, lanzado en 2004. Durante el secretismo pactado, la PHP Foundation preparó el parche —publicado finalmente este miércoles 21 de octubre— y agencias como la NSA, el NCSC británico y el propio Incibe español redactaron sus recomendaciones. Todo funcionó como funciona la divulgación coordinada de vulnerabilidades… hasta que dejó de funcionar.

La filtración que convirtió un parche tranquilo en una carrera contrarreloj

El guion se torció dos días antes de la publicación oficial. Según relató la propia PHP Foundation, alguien filtró detalles básicos de los fallos y, poco después, Calif publicó por error un vídeo sobre el ataque. Los atacantes no necesitaban más: empezaron a reconstruir el exploit de inmediato. Los análisis de tráfico confirmaron que ya el 17 de octubre, cuatro días antes del anuncio público, al menos un actor no identificado estaba intentando explotar la vulnerabilidad camuflado tras redes de proxy y VPN.

1. 1Finales de agosto: Wiz, Calif y OpenAI detectan los fallos con IA y los mantienen en secreto mientras se desarrolla el parche.
2. 217 de octubre: se detectan los primeros intentos de explotación reales, tras una filtración de detalles y un vídeo publicado por error.
3. 321 de octubre: la PHP Foundation publica el parche; NSA, CERT-EU y NCSC recomiendan actualizar de inmediato o desconectar los sitios.
4. 421-23 de octubre: el Gobierno finlandés, el ayuntamiento de Edimburgo, la BBC, Wikimedia y la agencia de ciberseguridad neerlandesa apagan webs preventivamente; plataformas de juegos y foros sufren suspensiones.

Que una web esté caída no significa que haya sido hackeada, conviene insistir. «Puede tratarse de una medida responsable para proteger los sistemas mientras se aplican las actualizaciones de seguridad», explicaba Dimitrios Salampasis, de la Universidad Tecnológica de Swinburne. Hasta el momento de las alertas, los investigadores no habían constatado ataques activos a gran escala, y el Gobierno británico aseguró no tener constancia de violaciones en su sector público.

Qué deberías hacer si tienes una web (o compras en una)

Si administras un sitio —y en España eso incluye a cualquier autónomo con un WordPress, que es media país— las recomendaciones del Incibe y de las agencias internacionales son claras y cortas:

• ✓Actualiza PHP de inmediato a la última versión parcheada. Si tu servidor lo gestiona tu hosting, pregunta cuándo aplicará la actualización; si es tu VPS, es cosa tuya.
• ✓Si no puedes parchear ya, desconecta o aísla el sitio de la red pública. Es la opción draconiana que eligieron gobiernos y medios esta semana.
• ✓Revisa plugins y servicios de terceros: como advierte el profesor Rahat Masood, si una interfaz externa de tu web usa PHP sin parchear, «sigues siendo vulnerable» aunque hayas actualizado tu servidor.
• ✓Vigila versiones antiguas: la Fundación PHP solo ha parcheado las versiones más recientes; si tu instalación es PHP 8.1 o anterior, la recomendación es migrar, no esperar.
• ✓Como usuario, calma pero ojo: cambia contraseñas si usabas las mismas credenciales en varias tiendas o servicios, y desconfía de correos extraños vinculados a compras recientes.

Lo que cambia PHP2Shell aunque no te hackeen nunca

El episodio pasará a los manuales de ciberseguridad por una razón que va más allá del propio PHP. Hasta ahora, la defensa contaba con una ventaja temporal: entre la publicación de un parche y la aparición de un exploit funcional mediaban días o semanas de ingeniería inversa humana. Ese colchón ha desaparecido. Si una IA encuentra un fallo de veinte años en una semana, otra IA puede convertir cualquier aviso de actualización en un ataque masivo en horas o minutos.

Wiz lo llama «punto de inflexión»; OpenAI habla de «una nueva etapa en la que la IA puede detectar fallos de seguridad con impacto a escala de Internet». El resto del mundo —gobiernos, hospitales, tiendas, ayuntamientos— acaba de descubrir que su infraestructura digital descansa sobre código heredado que nadie auditaba desde hacía lustros, y que ahora hay máquinas capaces de leerlo entero en un fin de semana. PHP2Shell se parchea en una tarde. Esa lección, en cambio, va a tardar bastante más en digerirse.