PHP2Shell: la IA encontró la falla que golpea al 70% de la web — y la explotó en 18 horas

Lo inquietante es que el código con el problema lleva más de una década en PHP; Calif rastreó su origen hasta investigación publicada en 2004. Afecta prácticamente todas las versiones desde la 5.4, y a cualquier forma de desplegar PHP: PHP-FPM, Apache mod_php (el de mayor riesgo, con un exploit de una sola petición ya demostrado), php-cgi, FrankenPHP y LiteSpeed. Un escaneo en Shodan citado por el investigador Henk Poley contó más de 1.9 millones de hosts expuestos a internet corriendo PHP; el investigador Silas Cutler estimó que más de 1.3 millones son potencialmente vulnerables.

La cronología que debería preocupar a cualquier agencia

• 17 de octubre: la red de honeypots MadPot de Amazon ya había registrado un intento de explotación — cuatro días antes de la divulgación pública. Amazon no sabe todavía cómo ese atacante consiguió información del exploit tan temprano.
• 20 de octubre, ~8pm UTC: Calif publica por accidente el video con su prueba de concepto funcional. El mismo día, un post en Hacker News filtra los números de CVE, obligando a adelantar el lanzamiento planeado del 22 al 21 de octubre.
• 21 de octubre, 3:02am UTC: Cloudflare activa reglas de firewall por default para todos sus clientes como medida temporal, antes de que existiera el parche oficial.
• 21 de octubre, 7:41am UTC: Chainguard publica imágenes de contenedor ya parchadas, seis horas antes del lanzamiento oficial de PHP.
• 21 de octubre, 2:00pm UTC: PHP libera las versiones con el parche.
• 21 de octubre, 2:19pm UTC: watchTowr confirma intentos de explotación activa contra ambos CVE — 19 minutos después de publicado el parche.

Amazon dice que la ola de ataques del 21 de octubre sugiere múltiples actores independientes, y ahora recomienda que cualquier investigación de incidente arranque desde el 17 de octubre, no desde el día de la divulgación.

La IA jugando en los dos lados del tablero

Del lado de encontrar y armar el exploit: Wiz Research, Calif y el equipo de Codex Security de OpenAI (usando su modelo GPT-5.6 Sol a través de la iniciativa "Patch the Planet") trabajaron en paralelo con el equipo de seguridad de PHP y con el equipo de Gemini de Google. Calif reconoció después que fue el investigador independiente @lcfr_hax quien encontró primero PHP2Shell y desarrolló el exploit funcional original.

Del lado de defender: esa misma semana, Amazon sometió a su agente autónomo de pentesting — ahora parte de AWS Continuum — a una prueba en vivo con 37 CVE recién divulgados (no específicamente PHP2Shell). El agente capturó la bandera por la ruta de vulnerabilidad correcta en 33 de 37 casos, 89.2%, con un tiempo mediano de captura de unas 4 horas, corriendo sobre Claude Opus 5 con un límite de 10 horas por caso. AWS es transparente sobre las limitaciones: es su propio benchmark (no uno independiente), la muestra es chica, no se descarta contaminación de datos de entrenamiento, y hubo dos fallos donde el agente tumbó el objetivo antes de poder leer la bandera.

El punto no es que un lado "gane". Es que la misma capacidad de IA que convierte una falla filtrada en un exploit funcional en horas es, literalmente, la misma tecnología que los grandes proveedores ya están usando para encontrar y parchar fallas de forma autónoma. La brecha que importa ahora es quién despliega esa velocidad primero — y se mide en horas, no en ciclos de noticias.

¿Qué tan expuesto está tu sitio?

Las versiones con parche son 8.5.12, 8.4.27, 8.3.36 y 8.2.35; hay backports como código fuente para 7.4, 8.0 y 8.1, que ya no reciben soporte oficial del proyecto. PHP 8.2 llega a su fin de vida el 31 de diciembre de 2026, así que no es un punto de parqueo permanente.

Un punto que se presta a confusión bajo presión: actualizar WordPress, sus plugins o su tema no toca la instalación de PHP del servidor — son capas completamente independientes. Hay mitigaciones de configuración (ajustar memory_limit, post_max_size, o desactivar session.upload_progress.enabled) que reducen la exposición, pero no sustituyen el parche real.

Y hay un dato incómodo sobre el proceso detrás de todo esto: un desarrollador core de PHP ya había detectado la falla de agotamiento de memoria durante una auditoría externa en 2024, pero el arreglo se estancó meses porque había enfoques de solución en competencia, cada uno con sus propios defectos. La propia PHP Foundation lo llamó después "una falla estructural" de su proceso de decisión. Mientras tanto, empresas como BambooHR y varios sitios gubernamentales y educativos en Holanda optaron por desconectar servicios de forma preventiva.

Lo que esto significa para agencias y developers

• Trata "ya hay parche" como "ya te están probando". El salto de prueba de concepto filtrada a explotación activa confirmada fue de 18 horas. Un ciclo de parcheo semanal o mensual ya no es una política de seguridad, es una apuesta.
• Verifica la versión real de PHP en el servidor, no solo el CMS. WordPress actualizado sobre un PHP vulnerable sigue siendo un sitio vulnerable.
• Define hoy quién tiene autoridad para aplicar un hotfix sin esperar ventana de mantenimiento. Si la respuesta involucra una junta o un ticket que tarda días, ese es el proceso que hay que arreglar primero.
• Mira los agentes de seguridad autónomos (AWS Continuum y equivalentes) sin el filtro del hype. Si el lado ofensivo ya opera a velocidad de máquina, defenderse a velocidad humana deja de ser suficiente.
• Deja por escrito en los contratos de servicio quién es responsable del parcheo de runtime (PHP, Node, lo que sea) versus quién administra el CMS encima. Este incidente mostró que esa línea confunde a mucha gente justo cuando más urge tenerla clara.

Si en este momento no sabes con certeza en qué versión de PHP corren los sitios que administras para tus clientes, ese es el mensaje que deberías mandar hoy — no después de terminar de leer esta nota. En Geek Vibes ayudamos a equipos a auditar su stack y a ponerle urgencia real al parcheo cuando el reloj corre en horas. Escríbenos a hello@geekvibes.agency si quieres que revisemos tu exposición.