Palo Alto confirma que los fallos de PHP2Shell afectan a PAN-OS

Gobiernos, bancos y empresas de todo el mundo desactivaron sus sitios web la semana pasada tras revelarse dos fallos críticos en PHP. PHP es el lenguaje de programación que impulsa alrededor del 70 % de los sitios web del mundo, según Wiz Research. Los errores se identifican como CVE-2026-109618 y CVE-2026-109619, y en conjunto se denominan PHP2Shell. Permiten a los atacantes ejecutar código en un servidor sin necesidad de iniciar sesión. El proyecto PHP lanzó correcciones de emergencia el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según informó Amazon Web Services Amazon.com, Inc. ↗ 1.61%. Los detalles se habían filtrado en Internet el martes 20 de octubre, un día antes del lanzamiento programado.aws.amazon.com+1

Sitios web fuera de servicio en todo el mundo

La Agencia de Seguridad Nacional de Estados Unidos recomendó a las organizaciones que no pudieran actualizar de inmediato «desconectar el sistema hasta que pueda mitigarse por completo», según informó DW. NBC News Comcast Corporation ↘ 0.95% señaló que era la primera vez que una agencia de inteligencia estadounidense utilizaba las redes sociales para aconsejar a los propietarios de sitios web que se desconectaran. La CISA instó a las organizaciones a aplicar los parches de inmediato.nbcnews.com+2

Finlandia suspendió temporalmente los servicios web públicos de su Gobierno y la agencia de ciberseguridad holandesa desactivó su propio sitio web, según la BBC. En Francia, los sitios web de las prefecturas, incluido el de la policía de París, fueron dados de baja, al igual que el servicio de identidad DigiD de Países Bajos y el sitio web de su parlamento, de acuerdo con eNCA. En Japón, ANA, JR West y MUFG suspendieron algunos servicios, según CNN. El sitio web del Banco de Bangladesh permaneció inactivo durante días, y miles de portales gubernamentales y bancarios en Nepal quedaron fuera de servicio. Las soluciones siguen llegando para algunos productos. El 24 de octubre, Palo Alto Networks ↗ 2.88% confirmó que PAN-OS está afectado y señaló que los parches de emergencia se distribuirían a partir del 26 de octubre.bbc.com+5

Millones de intentos de ataque

El director ejecutivo de Cloudflare ↘ 1.22%, Matthew Prince, afirmó que la empresa registró miles de intentos de explotación en las 10 horas anteriores al anuncio. Esa cifra aumentó a «decenas de miles en los 45 minutos posteriores al anuncio, cientos de miles en 2 horas, y millones en la actualidad», según informó SecurityWeek. Amazon indicó que el primer intento de explotación se produjo el 17 de octubre, cuando los fallos aún estaban bajo embargo, aunque las organizaciones describieron los intentos observados como infructuosos.securityweek.com

Inteligencia artificial en ambos lados

Calif descubrió los fallos en agosto utilizando el modelo GPT-5.6 Sol de OpenAI, durante una auditoría de PHP financiada por OpenAI. Wiz, propiedad de Google, afirmó haberlos encontrado de forma independiente semanas después mediante Gemini 4 Argon y GPT-5.6 Sol, según informó AFP. Alphabet ↗ 0.84% es la empresa matriz de Google. Wiz calificó estos errores como algunas de «las vulnerabilidades más graves jamás descubiertas en PHP y, posiblemente, en la historia del software».afp.com

NBC News señaló que la inteligencia artificial está ayudando tanto a defensores como a atacantes a encontrar fallos graves «a un ritmo vertiginoso». Steve Kerrison, de la Universidad James Cook, advirtió que algunos propietarios de sitios web «no tendrán ni idea de esto y seguirán sin saberlo durante días, semanas y meses», según AFP.nbcnews.com+1