Detectan ataques masivos aprovechando vulnerabilidades críticas en PHP

El 21 de octubre de 2026, el equipo de desarrollo de PHP lanzó actualizaciones de seguridad de emergencia para corregir dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. Estos fallos, conocidos como PHP2Shell, tienen una puntuación de gravedad de 9,2 sobre 10 y permiten que un atacante sin necesidad de usuario o contraseña ejecute código directamente en el proceso de trabajo del servidor.

Las vulnerabilidades afectan a diversas configuraciones que procesan solicitudes web, tales como PHP-FPM, implementaciones de Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de seguridad advierte que el uso de Apache con mod_php es el escenario de mayor riesgo, ya que se ha demostrado que es posible realizar el ataque con una sola solicitud, incluso antes de que la aplicación empiece a funcionar.

Tras la divulgación, se han observado escaneos a gran escala e intentos reales de ataque. Los atacantes utilizan técnicas como el 'envenenamiento de sesiones' (manipular los datos de una sesión para inyectar código) y la inclusión de archivos locales para confirmar si el servidor es vulnerable. Se ha detectado actividad vinculada a la botnet Potassium, una red de dispositivos infectados que busca tomar control de los sistemas para descargar archivos maliciosos mediante herramientas como wget.

Qué significa para una pyme colombiana y cucuteña: Si su empresa tiene una página web, un sistema de facturación o un portal de clientes que utilice PHP (muy común en servicios como WordPress o sistemas de gestión), usted está en riesgo. Debe revisar de inmediato si su servidor o su proveedor de hosting ha aplicado los parches de seguridad de PHP publicados el 21 de octubre de 2026. Si usa Apache con mod_php, la urgencia es máxima; contacte a su técnico para asegurar que las versiones de PHP estén actualizadas para mitigar los fallos CVE-2026-109618 y CVE-2026-109619.