El Centro de Seguridad de Tencent Cloud publicó un aviso el 21 de octubre para alertar sobre la vulnerabilidad de ejecución remota de código de PHP php2shell, relacionada con los identificadores CVE-2026-109618 y CVE-2026-109619.
El problema de esta vulnerabilidad es que un atacante no necesita iniciar sesión ni tener una cuenta: basta con una solicitud POST multipart especialmente diseñada para provocar daños en la memoria y obtener la capacidad de ejecutar código de forma remota. En teoría, podría tomar el control total del servidor afectado. Este tipo de vulnerabilidad en el lenguaje supone una presión considerable para los sistemas tradicionales que se ejecutan en la nube.
La Casa Blanca de Estados Unidos tuvo conocimiento del asunto el 16 de octubre y está coordinándose con organismos federales, laboratorios de integración de sistemas y operadores de redes para acelerar la publicación de parches y evaluar el impacto en los sistemas gubernamentales y las infraestructuras críticas. La intervención simultánea de proveedores de servicios en la nube y del Gobierno indica que este riesgo ha pasado de ser un «error común de código abierto» a convertirse en una amenaza para las infraestructuras.
Por ahora, siguen faltando detalles públicos sobre las versiones afectadas y el calendario oficial de publicación de parches. A corto plazo, lo más razonable es comprobar primero si los sistemas propios dependen de la pila PHP, seguir de cerca las instrucciones de corrección de los proveedores y tomar este incidente como una revisión de seguridad de la infraestructura, en lugar de limitarse a leer la noticia y pasar a otra cosa.
El problema de esta vulnerabilidad es que un atacante no necesita iniciar sesión ni tener una cuenta: basta con una solicitud POST multipart especialmente diseñada para provocar daños en la memoria y obtener la capacidad de ejecutar código de forma remota. En teoría, podría tomar el control total del servidor afectado. Este tipo de vulnerabilidad en el lenguaje supone una presión considerable para los sistemas tradicionales que se ejecutan en la nube.
La Casa Blanca de Estados Unidos tuvo conocimiento del asunto el 16 de octubre y está coordinándose con organismos federales, laboratorios de integración de sistemas y operadores de redes para acelerar la publicación de parches y evaluar el impacto en los sistemas gubernamentales y las infraestructuras críticas. La intervención simultánea de proveedores de servicios en la nube y del Gobierno indica que este riesgo ha pasado de ser un «error común de código abierto» a convertirse en una amenaza para las infraestructuras.
Por ahora, siguen faltando detalles públicos sobre las versiones afectadas y el calendario oficial de publicación de parches. A corto plazo, lo más razonable es comprobar primero si los sistemas propios dependen de la pila PHP, seguir de cerca las instrucciones de corrección de los proveedores y tomar este incidente como una revisión de seguridad de la infraestructura, en lugar de limitarse a leer la noticia y pasar a otra cosa.