El reel de @joacocierra resumió la semana de PHP2Shell en un minuto. Verificamos cada afirmación: la IA sí encontró la falla, SoftBank apagó sus alertas de sismo y el FBI y la NSA ordenaron parchear o apagar el sitio. Además: cómo revisar tu versión de PHP en WordPress en 1 minuto.
El miércoles 21 de octubre publicamos en este blog la guía completa de PHP2Shell, la vulnerabilidad crítica de PHP que permite tomar un servidor sin contraseña. Tres días después, el tema sigue creciendo: un reel de Joaquín Mena (@joacocierra) resumió la semana en un minuto y se hizo viral entre dueños de sitios WordPress. Todo lo que dice ese video es verificable, y en este artículo lo comprobamos punto por punto, con lo que pasó después del parche: los apagones de gobierno, la alerta de sismos de SoftBank, los avisos del FBI y la NSA, los millones de intentos de ataque y una tercera falla que PHP reveló el 23 de octubre. Y lo más útil: cómo revisar tu versión de PHP en WordPress en un minuto, porque actualizar WordPress no basta.
Si todavía no leíste la primera parte, aquí está: PHP2Shell: la vulnerabilidad crítica de PHP que permite tomar tu servidor sin contraseña (CVE-2026-109618 y CVE-2026-109619). Este artículo es la continuación: la historia de cómo la encontró una IA, el caos de la semana y el chequeo práctico para tu sitio.
El punto más discutido del reel es su frase inicial: una IA encontró cómo hackear medio internet. En los comentarios del video alguien lo niega. La evidencia dice lo contrario: fueron tres descubrimientos independientes, todos con IA de por medio.
En agosto de 2026, Ryan Austin, investigador de la firma de seguridad Calif, usó el modelo GPT-5.6 Sol de OpenAI para revisar el código interno de PHP, dentro de la iniciativa "Patch the Planet" de OpenAI. Su revisión encontró una versión parcial de la falla. En septiembre, el propio equipo de OpenAI encontró una versión más completa del mismo tipo de error. Y por separado, sin saber de los otros dos esfuerzos, los investigadores de Wiz —la firma de seguridad de Google Cloud— encontraron ambas vulnerabilidades por su cuenta, usando Gemini 4 Argon, GPT-5.6 Sol y su herramienta Wiz Atlas. Tres equipos, un mismo agujero.
El error llevaba escondido unos 14 años en el manejo de memoria de PHP, desde 2012. OpenAI pasó dos meses coordinando la corrección en silencio con el equipo de seguridad de PHP antes de que nada se hiciera público. La filtración del 20 de octubre en Hacker News obligó a adelantar el lanzamiento: los parches salieron el 21 de octubre en cuatro versiones a la vez: 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Wiz lo resumió sin rodeos: son las vulnerabilidades más graves descubiertas con ayuda de IA hasta ahora. Y no es un error de una aplicación concreta: está en el núcleo de PHP, antes de que corra cualquier código de tu sitio. Por eso afecta igual a WordPress, Laravel, Drupal o Magento.
El reel muestra un mapa con gobiernos apagando sus sitios, y eso también pasó. El mismo 21 de octubre, sitios de gobierno en Europa se apagaron por precaución mientras los operadores corrían a parchear. En Japón, el Ministerio de Finanzas, la Agencia Nacional de Impuestos y la Agencia Meteorológica suspendieron parte de sus servicios en línea. También lo hicieron empresas como el banco Nomura, Mitsubishi UFJ, la aerolínea ANA y la ferroviaria JR East. Fuera de Japón, entre los servicios que se desconectaron estuvieron la plataforma BambooHR, el Puerto de Róterdam y la Fundación Wikimedia, que opera Wikipedia. La primera ministra japonesa, Sanae Takaichi, pidió públicamente a los operadores que instalaran las actualizaciones.
El caso más llamativo llegó el viernes 23 de octubre, y es el que muestra el reel con el teléfono marcando las 6:47. SoftBank, la operadora móvil japonesa, suspendió su sistema de alertas de emergencia para sus clientes a las 6:47 de la mañana, hora local, mientras hacía mantenimiento para corregir la vulnerabilidad de PHP. Durante la suspensión, sus clientes —más de 30 millones, contando las marcas Y!mobile y LINEMO— no reciben avisos tempranos de terremotos, alertas de tsunami ni información de evacuación. La interrupción estaba prevista hasta el lunes 26. Otros canales, como la app de alertas de Yahoo y los servicios municipales, siguieron funcionando, pero el episodio muestra hasta dónde llegó la urgencia: una operadora prefirió dejar sin alertas de sismo a millones de personas antes que correr el riesgo con un PHP sin parchear.
Otra escena del reel muestra los logos del FBI y la NSA con el mensaje "actualiza ya; si no puedes, apaga el sitio". También es real. La NSA publicó un aviso formal recomendando los parches críticos para PHP2Shell, y horas después llegó la alerta de la División Cibernética del FBI, que calificó las fallas con 9.2 en la escala CVSS. Luego las tres agencias —NSA, FBI y CISA— emitieron un aviso conjunto.
El mensaje de las agencias es el mismo que dimos en nuestra guía del 21: las fallas están en PHP mismo, no en tu sitio ni en su configuración, así que cualquier servidor con una versión afectada es explotable. La NSA advirtió que los atacantes probablemente intentarán aprovecharlas y dijo que está priorizando identificar a quienes lo intenten. Y la recomendación es tajante: si no puedes actualizar de inmediato, saca el sistema de internet hasta mitigarlo. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) dio el mismo consejo.
El contador del reel dice 1,5 millones de servidores sin arreglo, de 2,6 millones con PHP detectados. Las cifras reales, medidas el 21 de octubre, son estas:
Hay que ser honestos con el matiz: hasta el 22 de octubre no había intrusiones confirmadas reportadas públicamente, y los investigadores de watchTowr advirtieron que gran parte del código de ataque que circulaba no lograba la ejecución completa de código: fallaba o solo probaba tiempos de respuesta. CISA tampoco había incluido las fallas en su catálogo de vulnerabilidades explotadas conocidas (KEV) hasta el 23 de octubre. Pero eso no es consuelo: con el parche público, cualquier atacante puede comparar el código antes y después y construir el ataque. La ventana para parchear se mide en horas, no en semanas.
Hay una novedad que el reel no podía incluir porque es posterior: el 23 de octubre PHP reveló una tercera vulnerabilidad relacionada, CVE-2026-115560, un defecto más estrecho en la función de progreso de subida de sesiones. A diferencia de las dos primeras, esta se maneja en el ciclo normal de lanzamientos, no como emergencia. Aun así, es una señal clara: si tu PHP está desactualizado, no es solo PHP2Shell lo que te acecha. Mantener el runtime al día ya no es mantenimiento rutinario, es la línea de defensa.
Esta es la parte práctica del reel, y es la que más vale para quien tiene un sitio en WordPress. El video lo resume con una frase que vale oro: actualizar WordPress no basta. WordPress es la carrocería; PHP es el motor. Puedes tener WordPress en su última versión y seguir corriendo sobre un PHP vulnerable, porque son dos cosas distintas y se actualizan por separado.
Para ver tu versión, entra a tu panel de WordPress y sigue esta ruta:
Herramientas › Salud del sitio › Información › Servidor
Ahí verás tu versión de PHP. Compárala con esta tabla de versiones con parche:
Si tu versión es igual o más nueva que la de tu serie, estás cubierto contra PHP2Shell. Si es más vieja, falta actualizar, como muestra el ejemplo del reel con una versión 8.3.33.
Primero: PHP no lo actualizas tú desde WordPress. Lo actualiza tu hosting, desde el servidor. Así que si tu versión está vieja, el paso es escribir a tu proveedor de hosting y pedir la actualización a una versión con parche. Algunos hostings aplican sus propios parches a versiones viejas, así que tu número puede verse viejo y aun así estar protegido: la última palabra la tiene quien administra tu servidor, pregúntale directamente.
Segundo: ojo con PHP 8.2. Esa serie recibe arreglos de seguridad solo hasta el 31 de diciembre de 2026. Si acabas de parchear a 8.2.35, tienes unas diez semanas de soporte; planifica el salto a 8.3 o 8.4. Y si estás en 8.1 o más vieja, ya no hay versión oficial con el arreglo: toca subir de versión. Existen parches de código fuente de emergencia para 7.4, 8.0 y 8.1, pero requieren compilar desde el código o depender de un proveedor LTS como CloudLinux o TuxCare. No es el camino para un sitio normal: actualiza.
PHP2Shell quedará como un caso de estudio: una IA encontró un error de 14 años, tres equipos lo confirmaron por separado, la filtración adelantó el parche, y en tres días el mundo vio gobiernos apagando webs, una operadora sin alertas de sismo y millones de intentos de ataque. La lección no es temerle a la IA que encontró la falla —sin ella, el error seguiría ahí, esperando a que lo encontrara alguien con peores intenciones— sino entender que el software que sostiene tu negocio necesita mantenimiento activo, no solo "si funciona, no lo toques".
Revisa tu versión hoy. Te toma un minuto, como dice el reel. Y si necesitas ayuda para actualizar tu sitio o revisar si quedó expuesto, escríbenos a ARCADIG HUB o usa nuestro estimador de presupuesto: revisamos tu stack, lo dejamos al día y te dejamos un plan para que no vuelva a pasar.
Desarrollamos soluciones web, aplicaciones móviles e Inteligencia Artificial adaptadas a tus requerimientos.
Pioneros en desarrollo de sistemas empresariales, inteligencia artificial y plataformas cloud en República Dominicana.
PHP2Shell, un RCE en Node.js, dos CVSS 10.0 en GitLab, LiteLLM comprometido, Railway, PingCAP, eMudhra y 404,607 certificados de GoDaddy revocados: todo pasó la misma semana. Aquí está qué se rompió, si te afecta y cómo arreglarlo, con los enlaces a cada parche.
Dos fallos críticos en el núcleo de PHP (CVSS 9.2) permiten ejecutar código en tu servidor sin iniciar sesión. Los parches ya están disponibles: revisa si estás afectado y protégete hoy, tengas WordPress, Laravel, Docker, Coolify o hosting compartido.
El resumen diario de IA de ARCADIG HUB: OpenAI reanuda su entrenamiento sin internet en vivo, Claude Duet y sus límites, GPT-6 llega a Google Cloud, y las agent skills con más estrellas en GitHub.
Marco legal y normativo aplicable a la contratación de servicios de desarrollo de software, inteligencia artificial y diseño digital prestados por ARCADIG HUB bajo las leyes de la República Dominicana.
Tratamiento confidencial de datos personales protegido por la Ley No. 172-13 sobre Protección de Datos de República Dominicana.
Validez legal inmediata de contratos electrónicos, presupuestos aceptados y firma digital bajo la Ley No. 126-02 de RD.
Protección estricta de propiedad intelectual, código fuente y sistemas frente a ciberdelitos según la Ley No. 53-07 de RD.
Garantía post-lanzamiento, entregables transparentes y derechos protegidos conforme a la Ley No. 358-05 de Protección al Consumidor.