Gobiernos desconectan sitios web por fallas en PHP2Shell

Sitios web de gobiernos, escuelas y hospitales en Europa, Canadá y el Reino Unido quedaron fuera de servicio el miércoles 21 de octubre. Las organizaciones se apresuraron a instalar correcciones para dos fallas críticas en PHP, el lenguaje de programación que sustenta una gran parte de la web. El equipo de respuesta a ciberseguridad de la Unión Europea, CERT-EU, había aconsejado a los operadores que no pudieran aplicar parches a tiempo que desconectaran sus sitios, informó Reuters.reuters.com

Las fallas se conocen colectivamente como PHP2Shell y se rastrean como CVE-2026-109618 y CVE-2026-109619. Podrían permitir a los atacantes ejecutar código en servidores web sin iniciar sesión. PHP lanzó correcciones en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 e instó a todos los usuarios a actualizar de inmediato, informó Help Net Security.helpnetsecurity.com

Desconexiones en tres regiones

El proveedor federal de TI de Alemania, los sitios web de las prefecturas de Francia, el ministerio de exteriores de Bélgica y los servicios web gubernamentales de Finlandia quedaron fuera de servicio como medida de precaución. En los Países Bajos, el Puerto de Róterdam, Overheid.nl y muchos sitios hospitalarios hicieron lo mismo, según Reuters. La Fundación Wikimedia también desconectó algunos sistemas. En Canadá, el ministro de Inteligencia Artificial, Evan Solomon, dijo que algunos sitios federales habían sido desconectados temporalmente. Los sitios provinciales en Terranova y Labrador y la Isla del Príncipe Eduardo también estuvieron fuera de servicio, informó CBC News. En un momento de la noche del miércoles, al menos siete de los 32 consejos de Escocia y seis de sus 14 juntas de salud habían retirado sus sitios web, informó la BBC.cbc.ca+2

Cloudflare ↗ 7.29% dijo que estaban surgiendo ataques tempranos. La agencia cibernética de Australia dijo que no tenía conocimiento de una explotación activa, informó Reuters. Palo Alto Networks ↗ 7.22% dijo que había encontrado más de 22.6 millones de instancias expuestas que podrían ser vulnerables, informó TechTarget.reuters.com+1

Una filtración forzó un lanzamiento anticipado

La Fundación PHP había planeado revelar las fallas más adelante junto con un parche. Los detalles se filtraron en las redes sociales el martes 20 de octubre, por lo que adelantó el lanzamiento, informó la BBC. El parche estaba originalmente programado para el jueves 22 de octubre, informó The Detroit News.bbc.com+1

El papel de la IA en el hallazgo de las fallas

OpenAI dijo que pasó los últimos dos meses liderando una coalición de mantenedores, investigadores y proveedores de seguridad para abordar el problema. Dijo que la firma de seguridad Calif encontró una falla crítica utilizando su modelo GPT-5.6 Sol como parte de su iniciativa Patch the Planet, y que Wiz descubrió y reportó de forma independiente ambas fallas, según la publicación del blog de OpenAI. Wiz es propiedad de Alphabet ↘ 1.08%. Dijo que el código vulnerable había estado presente durante más de una década, informó CBC. Los mantenedores de PHP lideraron las correcciones y el lanzamiento, dijo OpenAI.openai.com+1

Los investigadores de Wiz dijeron que las fallas "se encuentran entre las vulnerabilidades más graves descubiertas en PHP". Agregaron que los modelos de IA de frontera "redujeron sustancialmente" la barrera para convertir una falla de larga data en un exploit funcional, según Help Net Security.helpnetsecurity.com

OpenAI describió el descubrimiento como "uno de los problemas de seguridad más impactantes de la memoria reciente", informó dpa. La compañía reconoció que la IA también puede ayudar a los atacantes. "Hasta donde sabemos, la IA de frontera encontró estas vulnerabilidades antes que los atacantes, abriendo una ventana de defensa para que los mantenedores y proveedores de seguridad preparen correcciones", dijo.dpa-international.com