Agencias de tres continentes recomiendan apagar webs antes que arriesgarse. Minuto a minuto del primer…
php2shell, el día después: millones de ataques, cero brechas confirmadas y un fallo que llevaba dos años en un cajón
Actualización · Día después · 22 de octubre de 2026
Veinticuatro horas después del parche, la mayoría de las webs que se apagaron han vuelto, Cloudflare habla de millones de intentos de ataque, nadie ha confirmado todavía un servidor comprometido, y la PHP Foundation ha publicado un postmortem que cambia la historia: el fallo se detectó en 2024 y se quedó parado dos años. Además, la disputa sobre quién rompió el embargo tiene ya nombre y apellidos. Esto es lo que ha cambiado desde ayer.
Fuentes: postmortem de la PHP Foundation vía The Record; Cloudflare; Socket sobre la disputa con Chainguard; NL Times y Türkiye Today sobre la situación de las webs.
Reabierto, con reservas
5,1 millones de servidores con PHP a la vista de internet. 758.000 en versiones sin parche posible. Y un bug que llevaba dos años en un cajón.
El balance en cifras
| Indicador | Dato | Fuente |
|---|---|---|
| Intentos de ataque vistos por Cloudflare | Miles en las 10 horas previas al anuncio; decenas de miles a los 45 minutos; cientos de miles a las 2 horas; millones después | Matthew Prince, CEO de Cloudflare |
| Hora en que Cloudflare activó sus reglas | 03:02 UTC del 21 de octubre, 9 horas antes de la revelación pública, para todos los planes incluido el gratuito | Cloudflare |
| Servidores con PHP expuestos a internet | 5,1 millones de IP; al menos 758.000 en versiones sin soporte; 85.000 en la última versión previa al parche | VirusTotal |
| Sistemas vulnerables que quizá nunca se parcheen | Alrededor del 50% | Cisco Talos |
| Servidores comprometidos confirmados | Ninguno publicado | Patchstack, NCSC holandés, Turquía |
| Presencia en el catálogo de explotadas de CISA | Ninguno de los dos CVE, a cierre del 21 de octubre | CISA KEV |
Lo nuevo: el fallo llevaba dos años en un cajón
El postmortem de la PHP Foundation es el documento más incómodo del día. La primera auditoría de seguridad externa de PHP en varios años, en 2024, ya señaló uno de los dos fallos, el que hoy se llama CVE-2026-109618. No se hizo nada. Los ingenieros debatieron la corrección durante meses por sus efectos secundarios: romper compatibilidad hacia atrás y abrir una posible denegación de servicio. La Fundación lo reconoce sin eufemismos: “este proceso de decisión hizo que el trabajo en la corrección se parase y reiniciase repetidamente durante meses”, a cargo de “un pequeño equipo de desarrolladores con el conocimiento profundo del motor necesario, ocupado con muchas responsabilidades”.
El fallo volvió a la mesa el 11 de agosto, al reportarlo la firma Calif, tras escaneos con herramientas de Anthropic y OpenAI realizadas a principios de 2026. OpenAI, Wiz y Trail of Bits lo encontraron también por su cuenta en auditorías independientes. Cuatro equipos distintos dando con lo mismo en pocas semanas es la señal más clara de que, con la IA buscando fallos a destajo, un bug conocido y no corregido ya no es una deuda técnica: es una cuenta atrás. La Fundación promete “docenas de cambios estructurales” para que un fallo grave atascado en una disyuntiva técnica llegue a la dirección mucho antes.
Cualquier atacante podía ahora estudiar la corrección en forma binaria mientras el resto de usuarios de PHP seguía esperando la publicación.
PHP Foundation, sobre la publicación anticipada de Chainguard
La guerra civil del embargo: Chainguard contra la Fundación
Ayer el villano era un anónimo en Hacker News. Hoy el postmortem señala a un actor con nombre: Chainguard, la empresa de imágenes de contenedores seguras, recibió la corrección bajo embargo como cualquier otro distribuidor y publicó imágenes ya parcheadas a las 07:41 UTC, más de seis horas antes de la publicación coordinada. La Fundación lo califica de decisión unilateral que “ignoró semanas de trabajo de muchas partes”. Chainguard, por boca de su CEO Dan Lorenc, responde que la noche anterior ya veía intentos de explotación, que su política permite acortar plazos en esos casos, que avisó al grupo nada más decidirlo y que “no es un nosotros contra ellos”.
A eso se suma un vídeo con una prueba de concepto funcional que Calif, la empresa que reportó el fallo, publicó la noche del martes “por error” y que, según la Fundación, aceleró el desarrollo de exploits. Tres grietas en el mismo embargo en menos de 48 horas: un anónimo, un distribuidor y el propio descubridor. La pregunta de fondo ya no es quién rompió el pacto, sino si un pacto que depende de que nadie se adelante puede sobrevivir en un mundo donde adelantarse es una decisión de negocio.
Quién ha vuelto
- En Países Bajos, DigiD, MijnOverheid, el Parlamento, los partidos y la mayoría de webs públicas, de forma escalonada desde las 15:45 del miércoles. El teléfono de prevención del suicidio 113 y el Centro de Violencia Sexual, el jueves por la mañana.
- El NCSC holandés confirma que no ha detectado explotación activa en el país, solo un aumento de tráfico de sondeo.
- Turquía, tras escanear 1.488 dominios y encontrar 793 con huella de PHP, no ha hallado ninguno comprometido ni caído.
Quién sigue apagado o a medias
- En Países Bajos, el instituto de salud pública RIVM, la línea de denuncias anónimas y varias oficinas locales de atención a la violencia doméstica.
- Toolforge y Cloud VPS de Wikimedia, que dejaron partes de Wikipedia inaccesibles; el ITZBund alemán, el Ministerio de Finanzas japonés y el banco MUFG retiraron contenido y servicios.
- 4chan, que se declaró “temporalmente en solo lectura a la espera de una actualización urgente de seguridad de PHP”, sin confirmación pública de su vuelta.
- Los usuarios del repositorio Remi para Linux, que según la Fundación no publicaría la actualización ese día.
Explotación: todavía nadie se pone de acuerdo
Es el punto más confuso del día y conviene decirlo tal cual. Hadrian afirma haber visto php2shell explotado “a escala”, sobre todo por la vía del progreso de subida de sesión. watchTowr observa intentos en su red de honeypots. Cloudflare habla de millones de intentos y de atacantes mutando las cargas para esquivar sus reglas. Enfrente, Patchstack solo ve sondeos “sin evidencia firme de brechas”, Huntress no vio nada en su base de clientes, el NCSC holandés tampoco, y CISA no ha incluido ninguno de los dos CVE en su catálogo de vulnerabilidades explotadas. Millones de intentos y cero intrusiones confirmadas no es una contradicción: es la foto de un ataque masivo contra un objetivo que, por una vez, se apagó a tiempo. O la de una ola de sondeos automáticos que todavía no ha encontrado su exploit fiable. Dentro de una semana sabremos cuál de las dos.
La cifra que importa: 758.000
VirusTotal cuenta 5,1 millones de direcciones IP sirviendo PHP a internet. Al menos 758.000 corren versiones sin soporte, para las que no existe parche oficial y solo cabe confiar en que alguna distribución Linux lo retroporte. Cisco Talos estima que alrededor de la mitad de los sistemas vulnerables podrían no parchearse nunca. Esos servidores no son la noticia de hoy; son la noticia de los próximos meses. Cada campaña de malware que aparezca de aquí a 2027 explotando php2shell tendrá ahí su cantera, igual que la tuvieron Log4Shell y Heartbleed años después de sus parches.
Qué vigilar los próximos días
- El catálogo KEV de CISA. El día que incluya los dos CVE será la confirmación oficial de explotación real, y disparará plazos obligatorios de parcheo en la Administración estadounidense.
- El primer comprometido con nombre. Hasta ahora todo son intentos. La primera brecha atribuida a php2shell marcará el paso de “sondeo masivo” a “campaña”.
- Los retroportes para PHP 7 y 8.1. Si Debian, Ubuntu, Red Hat y los proveedores de soporte extendido publican parches, el 758.000 se reduce; si no, se convierte en la cifra del año.
- La respuesta de la Fundación. Un fallo que se detectó en 2024 y se parcheó en 2026 por presión externa no se arregla con un postmortem. Habrá que ver si los “cambios estructurales” vienen con dinero y personas.
- Tu propio servidor. Si no apagaste y no has auditado, hoy es el día: procesos lanzados por PHP, archivos nuevos en la raíz web, tareas programadas y cuentas recientes.
Ayer el titular era que internet había cerrado por obras. Hoy es que ha reabierto sin saber del todo si alguien entró mientras tanto, con un informe que admite que la puerta llevaba dos años con el pestillo roto y una discusión pública sobre quién avisó antes de tiempo. Es un final provisional razonable para un incidente que, por primera vez, enseñó a la web a apagarse. La próxima vez tocará comprobar si también ha aprendido a arreglar lo que sabe que está roto antes de que lo encuentre una máquina.
