Wiz Research, en colaboración con Calif y OpenAI, identificó recientemente una familia de vulnerabilidades críticas de seguridad de memoria en el motor central de PHP. Estos fallos, denominados colectivamente como PHP2Shell, permiten a atacantes no autenticados ejecutar código remoto o revelar memoria de procesos sensibles, como contraseñas y claves API. Debido a que PHP impulsa aproximadamente el 70% de los sitios web del mundo —incluyendo plataformas importantes como WordPress, Drupal y MediaWiki—, este descubrimiento representa un riesgo significativo para una parte masiva de la infraestructura de internet. Las vulnerabilidades son independientes de las aplicaciones específicas que se ejecutan sobre PHP, lo que significa que incluso una aplicación segura de 'Hello World' podría verse comprometida si se ejecuta en una versión de PHP afectada.
La investigación identifica una familia de vulnerabilidades críticas de seguridad de memoria en el motor central de PHP.
La raíz técnica de estos problemas reside en la forma en que PHP maneja los errores fatales, particularmente los eventos de falta de memoria (OOM). Cuando una solicitud activa un error OOM, el motor de PHP puede dejar atrás un estado interno corrupto o punteros globales 'obsoletos'. Las solicitudes posteriores manejadas por el mismo proceso de trabajo pueden entonces reutilizar este estado corrupto. Específicamente, la investigación identificó cuatro errores explotables agrupados bajo dos CVE (CVE-2026-109618 y CVE-2026-109619). Estos incluyen un 'uso después de la liberación' (use-after-free) en el deserializador de progreso de carga y una 'confusión de tipos en OPcache'. En este último, un fallo de asignación durante la persistencia del script provoca una discrepancia en los índices de memoria compartida, lo que genera una confusión de tipos entre trabajadores que puede aprovecharse para la ejecución remota de código.
Debido a que PHP impulsa aproximadamente el 70% de los sitios web del mundo —incluyendo plataformas importantes como WordPress, Drupal y MediaWiki—, este descubrimiento representa un riesgo significativo para una parte masiva de la infraestructura de internet.
Un hallazgo clave de esta investigación es el papel de la IA de vanguardia para cerrar la brecha entre los fallos teóricos y las explotaciones prácticas. Si bien estas vulnerabilidades habían existido en el código base de PHP durante más de una década, la complejidad de encadenar múltiples errores de memoria y adaptarlos a diferentes configuraciones de servidor dificultaba que los investigadores humanos los explotaran a gran escala. El equipo de investigación utilizó modelos como Gemini 4 Argon y GPT-5.6 Sol para automatizar las pruebas, la depuración y la adaptación de las explotaciones en diferentes entornos. Este cambio en la capacidad sugiere que la complejidad puede ya no servir como una barrera suficiente para la explotación, ya que la IA puede iterar rápidamente sobre los pasos intrincados necesarios para navegar por las disposiciones de memoria y los matices de configuración. PHP ha lanzado desde entonces parches para abordar estos fallos del motor central, y se recomiendan actualizaciones inmediatas para todos los sistemas afectados.