PHP2Shell: la vulnerabilidad que puso a la mitad de Internet en riesgo y cómo Cloudflare evitó la caída

El miércoles 21 de octubre, un fallo oculto en el código de PHP sacudió a gobiernos y empresas de todo el mundo. La vulnerabilidad, catalogada como CVE-2026-109618 y CVE-2026-109619 –conocida popularmente como PHP2Shell– permite a un atacante ejecutar código malicioso sin credenciales, con una puntuación de 9,2 sobre 10 según el INCIBE. Ante la amenaza, varios ministerios europeos y el Ministerio de Finanzas de Japón suspendieron parte de sus contenidos, mientras que numerosas empresas optaron por desconectar sus páginas para evitar un posible ciberataque.

Origen y detección del fallo

La Fundación PHP reconoció que el problema se había detectado en 2024 tras una auditoría externa. Sin embargo, el parche se retrasó durante meses, y la organización admitió que el “retraso fue un fallo estructural”. En agosto, Calif y OpenAI demostraron que se podía explotar la vulnerabilidad sin credenciales, lo que aumentó la prioridad del asunto. A pesar de ello, el parche no se implementó a tiempo y el anuncio de su existencia llegó el 21 de octubre, justo cuatro días antes de que estuviera disponible.

El 17 de octubre, Amazon detectó un intento de ataque contra uno de sus servidores trampa, una especie de señuelo para estudiar atacantes. El atacante utilizó una red de anonimato comercial, y Amazon no sabe cómo obtuvo la información. El 20 de octubre, los identificadores de la vulnerabilidad ya circulaban por foros y redes, y una firma publicó accidentalmente un vídeo con su prueba de concepto. Otra empresa compartió imágenes del parche más de seis horas antes de lo pactado.

El escudo de Cloudflare

Ante la inminente avalancha de ataques, Cloudflare activó su protección por defecto el 21 de octubre, casi once horas antes de que se anunciara el parche. La compañía había estado desarrollando reglas con la Fundación PHP, OpenAI y Wiz desde principios de octubre. El escudo no se limitó a clientes corporativos; también protegió a usuarios con cortafuegos web y a aquellos con planes gratuitos. Según W3Techs, esta medida pudo haber sido la única protección para una de cada cuatro webs de Internet.

Cloudflare implementó una “detección de transacción completa” que analiza la petición del usuario y la respuesta del servidor. Si algo no encaja, bloquea la respuesta antes de que llegue al visitante, colocando su red entre el usuario y el servidor. Esta estrategia resultó esencial, ya que las reglas de seguridad habituales no bastaban para mitigar la vulnerabilidad.

Intensificación de los intentos de ataque

Reuters informó que, en las diez horas previas al anuncio, Cloudflare detectó miles de intentos de explotación. El CEO Matthew Prince afirmó que el número subió a decenas de miles en los 45 minutos posteriores, a cientos de miles en dos horas y a millones en el momento de la publicación. CJ Moses, jefe de seguridad de Amazon, atribuyó el incremento a la IA, que facilita la creación de exploits funcionales y reduce el tiempo entre el parche y su uso en el mundo real.

El análisis asistido por IA, según Moses, “abarata” la creación de ataques y su ejecución. Microsoft, por su parte, advierte que los modelos de frontera no son de fiar y que los agentes de IA deben tratarse como amenazas internas.

Repercusiones y lecciones aprendidas

El episodio subraya la importancia de una respuesta rápida ante vulnerabilidades críticas y la necesidad de mantener actualizados los sistemas de seguridad. La Fundación PHP ha aceptado la responsabilidad y ha señalado que el retraso en el parche fue un “fallo estructural”. Mientras tanto, Cloudflare demostró que la colaboración entre proveedores de servicios y comunidades de código abierto puede ofrecer soluciones efectivas cuando el tiempo es esencial.

Hasta la fecha, se confirma que el parche está disponible, pero la comunidad sigue vigilando posibles nuevas variantes de la vulnerabilidad. La experiencia deja claro que la protección proactiva y la cooperación internacional son claves para salvaguardar la infraestructura digital global.