Un servidor de la NASA y uno de Wikipedia corrieron, durante semanas de octubre, código que cualquier atacante podía secuestrar con el exploit correcto. La causa: un error de memoria en PHP que nadie clasificaba como grave desde que se reportó en 2024. La vulnerabilidad PHP2Shell convirtió ese bug menor en una puerta para leer datos sensibles y ejecutar código en el servidor.

El hallazgo no vino de un pentester tradicional, sino de un investigador de Calif, firma financiada por OpenAI, que usó IA para encadenar el fallo en dos semanas. El parche salió antes de que un atacante real tuviera el exploit, reportó IEEE Spectrum el 2 de noviembre de 2026.

TL;DR

  • La vulnerabilidad PHP2Shell permitía leer datos y ejecutar código remoto en sitios de NASA y Wikipedia.- El bug subyacente era un error de memoria reportado a la PHP Foundation desde 2024, sin considerarse grave.- Calif, firma de seguridad financiada por OpenAI, lo convirtió en ejecución remota de código en dos semanas con IA.- Los investigadores reportaron la falla y el parche salió antes de que atacantes reales la explotaran.- Matt Suiche, de la startup Tolmo, advierte que la IA expone 40 años de deuda técnica en software legado.

Qué es PHP2Shell

PHP2Shell es el nombre que la comunidad de seguridad dio a una cadena de fallos en el intérprete de PHP que permite ejecutar código arbitrario en el servidor a partir de un simple error de memoria. La vulnerabilidad PHP2Shell afectó a sitios en WordPress, Drupal y plataformas como las de NASA y Wikipedia.

No es un producto ni una herramienta que alguien lance al mercado: es el apodo que la comunidad le puso a una falla real en PHP, el lenguaje creado en 1994 que todavía corre detrás de WordPress, Drupal y buena parte de la web, según documenta Wikipedia.
PHP nació en 1994 como 'Personal Home Page'.

Qué pasó

A fines de octubre de 2026 salieron a la luz varios problemas de ciberseguridad al mismo tiempo, pero ninguno tan grande como la vulnerabilidad PHP2Shell. El fallo exponía a cualquier sitio construido sobre WordPress, Drupal u otro software que corriera PHP sin el parche más reciente, incluidos los de NASA, Wikipedia y la Casa Blanca, a exploits capaces de leer datos sensibles y de ejecutar código malicioso en el servidor que alojaba el sitio.

Según el reporte de IEEE Spectrum, hasta donde se sabe el desastre se evitó: investigadores de ciberseguridad hallaron el fallo en PHP, lo reportaron a la PHP Foundation, y la organización publicó un parche antes de que algún actor malicioso tuviera el exploit en sus manos.

El hallazgo llegó por un camino poco habitual. A comienzos de 2026, la firma de ciberseguridad Calif ofreció auditar PHP de forma independiente, con el patrocinio de OpenAI. En menos de dos semanas, un investigador de Calif, asistido por herramientas de IA, encontró la forma de usar el bug de memoria de PHP para ejecutar código arbitrario en el servidor.

"Uno de los fenómenos que estamos viendo ahora es que todo el software heredado que escribieron personas durante los últimos 40 años está quedando expuesto", dijo Matt Suiche, líder de investigación en seguridad de IA en la startup Tolmo, a IEEE Spectrum. "Ahora es momento de pagar esa deuda técnica."

sequenceDiagram participant R as Investigador de Calif participant IA as Herramienta de IA participant F as PHP Foundation participant A as Atacantes R->>IA: analiza el bug de memoria reportado en 2024 IA-->>R: sugiere una cadena de explotación viable R->>F: reporta el fallo en PHP F-->>R: confirma el hallazgo y prepara un parche F->>A: publica el parche antes de que lo exploten Note over R,F: dos semanas entre el hallazgo y el reporte

Contexto e historia

PHP nació en 1994 con el nombre de "Personal Home Page", creado por Rasmus Lerdorf para generar páginas dinámicas sencillas, según recoge Wikipedia. Más de tres décadas después, el lenguaje sigue siendo el motor detrás de WordPress, Drupal y buena parte de los sitios más visitados del planeta, incluidos los de instituciones como la NASA y la Casa Blanca.

El bug que terminó habilitando el fallo en PHP no era un secreto. Se reportó a la PHP Foundation ya en 2024, pero nadie lo trató como una prioridad: el reporte describía un error de memoria insuficiente, el tipo de falla que normalmente hace que un programa se caiga sin dejar ningún otro rastro.

"Si mirás en cualquier momento, siempre hay un montón de reportes de bugs esperando a ser arreglados que son solo caídas. La mayoría de la gente no los toma muy en serio", explicó Suman Jana, profesor asociado de ciencias de la computación en la Universidad de Columbia, a IEEE Spectrum. "Es que requieren un razonamiento muy específico que es doloroso de hacer. Y la IA, creo, ha hecho un trabajo muy bueno en eso."

Esa frase resume el cambio de fondo. Lo que antes quedaba enterrado en un backlog de bugs de baja prioridad, ahora un modelo de IA puede revisarlo de forma sistemática y encontrar el camino hacia una ejecución remota de código.

Detalles técnicos

La clase de bug detrás de la vulnerabilidad PHP2Shell es conocida en seguridad: un error de memoria insuficiente ocurre cuando el programa reserva menos espacio del que termina necesitando para guardar un dato. En la inmensa mayoría de los casos eso se traduce en un crash controlado, el programa se cierra y listo, sin que un atacante pueda sacarle provecho. Por eso este tipo de reporte casi nunca sube de prioridad en un backlog de bugs.

El salto que hizo distinto a este caso fue encadenar ese error de memoria con otras condiciones del intérprete de PHP hasta lograr que la caída, en lugar de terminar el proceso, corrompiera una zona de memoria controlada por el atacante. Esa corrupción abre la puerta a ejecutar instrucciones arbitrarias en el servidor: el salto de memoria rota a código ajeno corriendo con los permisos del proceso es exactamente lo que describe el nombre PHP2Shell.
Calif recibió financiamiento de OpenAI para auditar PHP de forma independiente.
Encontrar esa cadena a mano exige revisar manualmente cientos de rutas de código para ver cuáles de ellas, en combinación, permiten controlar qué se escribe en la memoria corrupta. Es un trabajo mecánico y repetitivo, el tipo de tarea en la que un modelo de IA puede probar muchas más combinaciones que una persona en el mismo tiempo, que es justo lo que describieron tanto Jana como el propio equipo de Calif.

⚠️ Ojo: un error de memoria "inofensivo" no lo es por definición, solo lo es mientras nadie invierta el tiempo en encadenarlo con otra falla. La IA bajó drásticamente ese costo de tiempo.

Para confirmar si tu instalación de PHP ya tiene el parche, ejecutá php -v en el servidor: la salida muestra la versión exacta, algo como PHP 8.3.x (cli). Compará ese número contra el changelog oficial que publique la PHP Foundation para esta falla y, si tu versión es anterior a la marcada como corregida, actualizá antes de seguir leyendo esto.

Impacto y análisis de la vulnerabilidad PHP2Shell

El caso deja un patrón que probablemente se repita: laboratorios de IA financiando auditorías de software que lleva décadas en producción, y encontrando en semanas lo que generaciones de desarrolladores no vieron. OpenAI patrocinó la auditoría de Calif sobre PHP; no es casualidad que las mismas empresas que construyen modelos de razonamiento sean las que ahora financian su uso para destapar deuda técnica en la infraestructura que sostiene buena parte de internet.

El riesgo no es solo que haya un bug más. Es que probablemente haya miles de reportes similares, catalogados como simples caídas, durmiendo en los trackers de bugs de proyectos igual de antiguos que PHP. Cada uno de esos reportes es, en teoría, candidato a convertirse en la brecha hallada por Calif del año que viene, solo que en otro lenguaje o framework.

La parte alentadora es que esta vez el proceso funcionó como debería: una auditoría responsable, un reporte privado a la PHP Foundation y un parche antes de que la falla de ejecución remota llegara a manos de un atacante real. La parte incómoda es que ese resultado dependió de que una empresa decidiera voluntariamente pagar por buscarlo, no de que el ecosistema de PHP tuviera los recursos para hacerlo por su cuenta.

Qué sigue

Cabe esperar más auditorías asistidas por IA sobre proyectos de código abierto con décadas de antigüedad: Apache, OpenSSL, el núcleo de Linux y otros componentes que, como PHP, acumulan reportes de bugs menores sin revisar. Si el patrón de Calif se repite, cada uno de esos proyectos puede recibir, en cuestión de semanas, el equivalente a años de auditoría manual.

Para los equipos que mantienen sitios en WordPress o Drupal, la recomendación práctica no cambia: mantener PHP actualizado y suscribirse a los avisos de seguridad de la PHP Foundation. Para el resto de la industria, el caso PHP2Shell funciona como advertencia de que la IA no solo sirve para escribir código nuevo, también sirve, cada vez mejor, para encontrar los errores que quedaron enterrados en el código viejo.

Probalo vos: corré php -v en tu servidor ahora mismo y compará el resultado contra el changelog oficial de la PHP Foundation antes de seguir leyendo cualquier otra cosa.

📖 Resumen en Telegram: Ver resumen

Preguntas frecuentes

¿Qué es la vulnerabilidad PHP2Shell y por qué preocupa a los expertos?

Es el nombre que la comunidad de seguridad le dio a una cadena de fallos en el intérprete de PHP que permite pasar de un simple error de memoria a la ejecución de código arbitrario en el servidor. Preocupa porque PHP corre detrás de una porción enorme de la web, incluidos sitios de instituciones como NASA y la Casa Blanca.

¿Qué sitios estuvieron en riesgo por el fallo en PHP?

Cualquier sitio construido sobre WordPress, Drupal u otro software sobre PHP sin el parche correspondiente, entre ellos los de NASA, Wikipedia y la Casa Blanca, según el reporte de IEEE Spectrum.

¿Quién descubrió la falla de ejecución remota en PHP y cómo?

Un investigador de la firma de ciberseguridad Calif, financiada por OpenAI, la encontró en menos de dos semanas con ayuda de herramientas de inteligencia artificial, a partir de un bug de memoria que la PHP Foundation tenía reportado desde 2024.

¿Llegó a explotarse el bug de memoria de PHP antes del parche?

Hasta donde se sabe, no. Los investigadores reportaron el hallazgo de forma privada a la PHP Foundation, que publicó un parche antes de que algún actor malicioso tuviera acceso al exploit.

¿Qué papel jugó la IA en destapar la brecha hallada por Calif en PHP?

Permitió revisar sistemáticamente rutas de código que normalmente nadie prioriza, porque solo producían caídas sin consecuencia aparente, y encontrar entre ellas la combinación exacta que convierte un crash en ejecución de código.

Referencias

  • IEEE Spectrum: reporte original sobre la vulnerabilidad PHP2Shell y el rol de la IA en su descubrimiento.- PHP.net: sitio oficial del lenguaje PHP y sus avisos de seguridad.- Wikipedia: historia y origen del lenguaje PHP desde 1994.

📱 ¿Te gusta este contenido? Únete a nuestro canal de Telegram @programacion donde publicamos a diario lo más relevante de tecnología, IA y desarrollo. Resúmenes rápidos, contenido fresco todos los días.