Qué pasó
El 21 de octubre de 2026, Wiz Research publicó dos vulnerabilidades críticas en el motor de PHP: CVE-2026-109618 y CVE-2026-109619, conocidas como PHP2Shell. Ambas tienen un puntaje CVSS de 9,2 (v4.0) y 9,8 (v3.x), lo que las clasifica como críticas.
PHP es el lenguaje que corre detrás del 70% de los sitios web del mundo, incluyendo WordPress, Drupal, Joomla y Wikipedia (fuente: Wiz Research, octubre 2026). Eso significa que la mayoría de los sitios web en Chile también están afectados.
Lo más preocupante: la IA fue la que permitió descubrir y explotar estas vulnerabilidades. El código vulnerable llevaba más de una década en PHP, pero demostrar que era explotable requería encadenar múltiples bugs y ajustar el exploit a cada versión y configuración de PHP. Ese trabajo manual era prácticamente imposible de escalar. Con modelos de IA de frontera, esa barrera desapareció.
Qué permite hacer un atacante
Hay dos tipos de ataque, ambos sin autenticación:
1. Ejecución remota de código (RCE)
El atacante puede ejecutar código arbitrario en el servidor sin necesitar credenciales. Wiz demostró que el exploit funciona contra las versiones más recientes de WordPress, Drupal y Joomla corriendo en contenedores Docker. Pero la vulnerabilidad está en PHP mismo, no en la aplicación: incluso un "Hola Mundo" en PHP es vulnerable.
2. Robo de memoria
El atacante puede leer la memoria del proceso PHP y extraer contraseñas, tokens de sesión y API keys. No necesita lograr ejecución de código remoto para hacer esto.
Quién está afectado
- Todas las versiones de PHP lanzadas en la última década, desde la 5.4 en adelante (fuente: Wiz Research, octubre 2026).
- Cualquier sitio que corra PHP: WordPress, Drupal, Joomla, MediaWiki, y cualquier aplicación custom.
- No depende de un error en el código de tu aplicación. La vulnerabilidad está en el motor de PHP.
En Chile, la mayoría de los sitios web de empresas, pymes y organizaciones usan WordPress o algún CMS basado en PHP. Si tu sitio está en un hosting compartido o en un servidor que no se actualiza automáticamente, es muy probable que estés vulnerable.
El parche ya existe
El 21 de octubre de 2026, PHP lanzó una actualización que corrige las vulnerabilidades de memoria en el motor. El parche está disponible.
El problema real no es técnico: es operativo. Muchos sitios web en Chile no se actualizan porque:
- El hosting es compartido y el proveedor no actualiza PHP automáticamente.
- El sitio fue desarrollado por un freelancer o agencia que ya no da soporte.
- Nadie monitorea las actualizaciones de seguridad del servidor.
- El sitio "funciona" y nadie quiere tocarlo por miedo a romperlo.
Qué deberías hacer
1. Verificar tu versión de PHP
Puedes crear un archivo phpinfo.php con <?php phpinfo(); ?> y abrirlo en tu navegador. Ahí verás la versión exacta de PHP que corre tu servidor. Si es anterior a la versión parcheada (PHP 8.1.30, 8.2.25, 8.3.13 o 8.4.2 según la rama), estás vulnerable.
2. Actualizar PHP a la versión parcheada
Si tu hosting te permite cambiar la versión de PHP desde el panel (cPanel, Plesk, etc.), actualiza a la última versión estable de tu rama. Si no puedes, contacta a tu proveedor de hosting.
3. Revisar si ya hubo compromiso
Si tu sitio estuvo vulnerable por días o semanas antes de parchear, revisa:
- Logs de acceso del servidor (busca requests anómalos).
- Archivos nuevos o modificados en el directorio web.
- Usuarios nuevos en tu CMS (WordPress, Drupal, Joomla).
- Cambios en la base de datos.
4. Rotar credenciales
Si hay evidencia de compromiso, rota todas las contraseñas, tokens de API y claves de acceso. La vulnerabilidad permite robar estos datos de la memoria.
5. Considerar un WAF (Web Application Firewall)
Un WAF puede mitigar la explotación mientras actualizas. No es una solución definitiva, pero reduce el riesgo.
El rol de la IA en esto
Este caso es un ejemplo del doble filo de la IA en ciberseguridad. La misma tecnología que permite a los atacantes crear exploits más rápido también permite a los defensores encontrar vulnerabilidades antes de que sean explotadas.
Wiz Research usó modelos de IA de frontera para descubrir y explotar PHP2Shell. En un mundo sin IA, estas vulnerabilidades habrían seguido ocultas. Con IA, se encontraron y se parchearon.
Pero también significa que los atacantes tienen la misma herramienta. La diferencia está en quién actualiza primero.
Lo que Personnn puede ayudar
Personnn ofrece servicios de seguridad (personnn.com/servicios) que incluyen una revisión de lo que los agentes de IA hacen con los datos de tu empresa, con un diagnóstico en vivo desde la dirección de tu sitio.
Si tu sitio web está en PHP y no sabes si está vulnerable, es un buen momento para revisarlo. No solo por PHP2Shell: cualquier sitio sin mantenimiento es un riesgo.
Fuentes
- Wiz Research: "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet" (21 octubre 2026). https://www.wiz.io/blog/php2shell-php-rce
- Wikipedia: "PHP2Shell" (2026). https://en.wikipedia.org/wiki/PHP2Shell
- La Tercera: "Hackeos con IA desbordan Internet: falla en PHP expuso al 70% de la web" (octubre 2026).
- La Tercera: "PHP2Shell: una IA descubre una falla de seguridad que amenaza a millones de sitios web en todo el mundo" (octubre 2026).
Nota: Las afirmaciones sobre el impacto en Chile (mayoría de sitios usando WordPress/PHP, hosting compartido sin actualización automática) son observaciones basadas en el mercado chileno, no datos medidos. Los datos técnicos (70% de la web, CVSS scores, CVEs, versiones afectadas) provienen de Wiz Research como fuente primaria.