Gobiernos bajan sus portales y Washington advierte: “PHP2Shell” convierte una falla técnica en un asunto de Estado

Lo que empezó como un hallazgo técnico se convirtió en un asunto de Estado: “PHP2Shell”, dos fallas críticas en PHP, el lenguaje detrás de cerca del 70% de los sitios web, obligó a gobiernos de Europa a desconectar portales por prevención y llevó a la NSA y el FBI de Estados Unidos a advertir que los servidores sin parchear deben actualizarse de inmediato o bajarse.

Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, tienen severidad 9.2 sobre 10 y permitirían tomar un servidor sin iniciar sesión. Permanecieron escondidas más de una década hasta que modelos de inteligencia artificial, GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google, junto a investigadores de Wiz y Calif, lograron convertirlas en un exploit funcional.

La Fundación PHP publicó parches de emergencia el 21 de octubre de 2026 (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35), un día antes de lo previsto, tras una filtración en un foro de hackers. En Alemania, Francia y Finlandia, sitios gubernamentales se fueron a negro por prevención, incluido el portal holandés mijn.overheid.nl, mostrado caído mientras las agencias advertían del riesgo.

El episodio reabre un debate político de fondo: los Estados dependen de software abierto mantenido por fundaciones y comunidades, y una falla en esa base común puede paralizar servicios públicos enteros. Cloudflare reportó millones de intentos de explotación tras la divulgación; hasta ahora no se ha confirmado ningún compromiso exitoso.

Es la primera crisis de internet a escala descubierta, verificada y mitigada con inteligencia artificial. Para los gobiernos, el mensaje es doble: la IA ya es una herramienta de defensa nacional, y la actualización del software público ya no puede esperar al próximo presupuesto.