Vulnerabilidad Crítica en PHP (php2shell): Análisis y Respuesta

El 21 de octubre de 2026, el ecosistema de desarrollo web se enfrentó a una alerta de máxima gravedad tras revelarse dos vulnerabilidades críticas en el núcleo de PHP, rastreadas como CVE-2026-109618 y CVE-2026-109619 (popularmente "php2shell"). Con una puntuación CVSS de 9.2, estas fallas permitían la ejecución remota de código (RCE) en millones de servidores sin requerir autenticación previa.

¿Por qué ocurrió esta brecha global?

El problema no radicaba en malas prácticas de programación web, sino en el motor mismo del lenguaje. Los ciberatacantes lograron aprovechar un manejo defectuoso de la memoria durante las interrupciones por falta de recursos (out-of-memory o OOM). Al procesarse estas excepciones usando la función interna longjmp(), quedaba residente en memoria un estado global corrupto.

Para activar el exploit, un atacante sólo necesitaba realizar una petición estándar al servidor, estructurada como una carga de archivos mediante multipart/form-data. Este simple envío bastaba para comprometer el servidor por completo antes de que se ejecutara siquiera la primera línea de código de la aplicación.

La solución y mitigación a nivel mundial

El equipo de seguridad de PHP actuó de manera contundente emitiendo parches de emergencia para todas sus ramas activas (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35). Simultáneamente, gigantes como Cloudflare y F5 desplegaron reglas estrictas en sus Firewalls de Aplicaciones Web (WAF) a nivel global, filtrando peticiones maliciosas y dando a los ingenieros el tiempo necesario para aplicar los parches.

Cómo abordamos la crisis en Ingensoft

En Ingensoft diseñamos sistemas de misión crítica para la industria turística y comercial. Para nosotros, la integridad de los datos es innegociable. Tan pronto como las alertas saltaron, nuestro equipo activó el protocolo de respuesta a incidentes:

• 1
  Contención perimetral inmediata (WAF) Aprovechando nuestro stack con Cloudflare, inyectamos de inmediato reglas precisas para inspeccionar, limitar y filtrar envíos masivos de multipart/form-data, cortando el paso de los exploits hacia los servidores físicos.
• 2
  Despliegue de parches en caliente Bajo la ejecución de nuestro Senior Developer, Mathías Emert, migramos todos los clústeres a las versiones parcheadas (PHP 8.3.36 y 8.2.35). Reiniciamos Nginx y PHP-FPM con un balanceo que logró cero tiempo de inactividad para nuestros clientes.
• 3
  Auditoría forense Ejecutamos una revisión exhaustiva de logs en todos los servidores para descartar anomalías previas a nuestra intervención, confirmando un 100% de protección efectiva y cero brechas de datos.

La capacidad técnica para reaccionar y entender la infraestructura sin depender de soluciones prefabricadas es lo que nos permite actuar más rápido que la amenaza. El software a medida no solo significa rendimiento; también exige un control absoluto ante crisis globales.