¿El principio del apocalipsis cibernético? La IA acelera los ataques y PHP2Shell enciende otra alarma
El apocalipsis cibernético probablemente no empezará como en las películas, con todos los ordenadores apagándose a la vez. Puede empezar de una forma mucho más vulgar: una web sin actualizar, una vulnerabilidad crítica y delincuentes capaces de automatizar parte de su trabajo con inteligencia artificial.
El 21 de octubre de 2026, el equipo de PHP publicó actualizaciones para dos fallos que pueden permitir a un atacante ejecutar código en un servidor sin necesidad de contraseña. Las autoridades europeas han pedido actuar con urgencia. Al mismo tiempo, investigaciones recientes documentan cómo algunos ciberdelincuentes utilizan IA para acelerar búsquedas de objetivos, preparar herramientas y ejecutar operaciones a mayor escala.
¿Estamos ante el fin de Internet? No. ¿Ante un cambio preocupante en las reglas del juego? Sí hay motivos para tomárselo en serio. Pero cuidado con mezclar hechos: no hay pruebas, en las fuentes consultadas para este artículo, de que la IA haya originado las vulnerabilidades PHP2Shell ni de que todos los ataques contra ellas estén dirigidos por IA. Tampoco significa que todas las webs con PHP hayan sido comprometidas.
Qué ha ocurrido
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619 y conocidos conjuntamente como php2shell, están relacionados con la gestión de memoria del propio intérprete PHP. En determinadas circunstancias, una petición HTTP preparada por un atacante puede provocar una situación que permita ejecutar instrucciones no autorizadas, exponer información o interrumpir el servicio.
El aviso oficial del proyecto PHP identifica como potencialmente expuestas las instalaciones que atienden peticiones web, incluidas configuraciones con PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed. El equipo de seguridad considera especialmente grave el riesgo en mod_php, para el que se ha demostrado una vía de explotación antes incluso de que se ejecute el código de la aplicación.
El 21 de octubre la Comisión Europea, ENISA, CERT-EU, Europol y la red europea de equipos de respuesta a incidentes emitieron un comunicado conjunto. Su recomendación: identificar dónde se utiliza PHP, aplicar las versiones corregidas y dar prioridad a las aplicaciones accesibles desde Internet.
La IA en malas manos: el factor que puede multiplicar el problema
Hasta hace poco, preparar una campaña de intrusión a gran escala exigía tiempo, experiencia y bastante trabajo humano. La IA no elimina esas barreras, pero puede reducir parte del esfuerzo: ayudar a analizar sistemas expuestos, adaptar herramientas, automatizar comprobaciones y procesar datos robados. No es una hipótesis sacada de una película.
En su informe de amenazas de septiembre de 2026, Anthropic documentó operaciones que había detectado e interrumpido en las que determinados atacantes emplearon modelos de IA para acelerar tareas de reconocimiento, desarrollo de herramientas y explotación. El Centro Nacional de Ciberseguridad de Nueva Zelanda, en su informe de amenazas de 2026, también advierte del aumento de velocidad y escala que la IA puede aportar a actividades maliciosas.
Esto importa cuando aparece una vulnerabilidad extendida como PHP2Shell: una misma debilidad puede ser buscada por atacantes que automatizan la identificación de posibles objetivos. Ese riesgo general no demuestra que una campaña concreta de PHP2Shell utilice IA; es el contexto en el que deben actuar empresas y administradores.
La paradoja es que la IA también ayuda a los defensores a analizar registros, localizar sistemas desactualizados y responder más deprisa. La diferencia no la marca una supuesta inteligencia malvada, sino quién la utiliza, con qué controles y cuánto tarda cada organización en corregir sus puntos débiles.
A qué webs y empresas puede afectar
El problema reside en el entorno de ejecución PHP, no en un plugin concreto. Por eso pueden verse afectadas webs construidas con WordPress, Magento u otras aplicaciones que dependan de una instalación vulnerable de PHP. Actualizar únicamente WordPress o sus extensiones no sustituye la actualización del intérprete PHP.
Los principales afectados potenciales son administradores de webs, proveedores de alojamiento, tiendas online, agencias que mantienen páginas para terceros y organizaciones con aplicaciones internas accesibles desde Internet.
Si tu web utiliza Next.js, React o Node.js sin ejecutar PHP en el servidor, estos dos fallos no la afectan directamente por el mero hecho de utilizar esas tecnologías. Aun así, un servidor puede alojar además otras aplicaciones o servicios basados en PHP. Hay que revisar lo que está realmente instalado, no deducirlo solo por el aspecto de la página pública.
También es importante entender la diferencia entre tres cosas: una instalación vulnerable, un intento de ataque y una intrusión confirmada. No son equivalentes. Que una empresa bloquee miles de peticiones maliciosas no demuestra que hayan robado miles de bases de datos.
Para revisar otros aspectos de la seguridad de tu web, consulta cómo proteger un servidor Apache y nuestro análisis de otras vulnerabilidades de WordPress. Son problemas diferentes de PHP2Shell y no sustituyen los parches de PHP.
Qué hacer hoy si administras una web
- Comprueba si tu servidor ejecuta PHP. Revísalo desde el panel del hosting o pide al proveedor que confirme el intérprete instalado en cada dominio o servicio. Si utilizas un alojamiento gestionado, no des por hecho que la actualización se aplica sola.
- Verifica la versión y las correcciones del proveedor. El proyecto PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir ambos fallos. En distribuciones Linux con soporte prolongado puede existir una corrección incorporada a un paquete cuya numeración aparente sea anterior: pide confirmación del fabricante antes de sacar conclusiones.
- Prioriza las aplicaciones públicas. ENISA recomienda atender antes los servicios accesibles desde Internet. Si no es posible corregirlos inmediatamente y el riesgo lo justifica, valora restringir temporalmente el acceso hasta aplicar el parche.
- Mantén las protecciones de red, pero no las confundas con una reparación. Un cortafuegos de aplicaciones web (WAF) puede bloquear ciertos intentos. Cloudflare anunció protecciones específicas contra php2shell. Sin embargo, tanto Cloudflare como PHP insisten en que actualizar sigue siendo necesario.
- Revisa señales de compromiso y conserva evidencias. Busca actividad anómala en registros HTTP y de aplicación, cambios inesperados en archivos, procesos o tareas, accesos no habituales y errores inusuales. Ninguna de estas señales por sí sola demuestra una intrusión; tampoco su ausencia garantiza que no se haya producido.
Si trabajas con una agencia o proveedor de hosting, una pregunta útil y concreta es: «¿Habéis comprobado CVE-2026-109618 y CVE-2026-109619 en todos los servicios PHP que alojan mis dominios, y podéis confirmar la versión corregida o el parche equivalente?»
¿Y si solo navegas por Internet?
No necesitas instalar PHP ni buscar estas vulnerabilidades en tu móvil por visitar una página. Se trata de un problema de los servidores que ejecutan PHP. El riesgo para un usuario aparece si una web que almacena sus datos acaba comprometida, algo que habrá que confirmar caso por caso.
Mientras tanto, mantén tus dispositivos y navegador actualizados, evita enlaces que prometan supuestas «herramientas de emergencia» y presta atención a las comunicaciones oficiales de los servicios que utilizas. Un mensaje alarmante en redes sociales no es prueba de que tu información se haya filtrado.
Qué hacer si sospechas que tu servidor ya está comprometido
Una actualización corrige la vulnerabilidad, pero no elimina necesariamente una intrusión ya producida. Si hay indicios fundados de acceso no autorizado, evita borrar registros o reinstalar apresuradamente sin preservar las pruebas. Aísla el sistema afectado según el plan de respuesta, analiza accesos y posibles datos expuestos, revoca o rota credenciales que pudieran haberse comprometido y restaura desde un punto verificado si es necesario. Si afecta a datos personales, evalúa las obligaciones legales de notificación.
En España puedes acudir a los recursos y canales de ayuda de INCIBE y, cuando proceda, a los equipos de respuesta a incidentes competentes. Para incidencias relacionadas con protección de datos, la AEPD ofrece información sobre la gestión y notificación de brechas.
¿Es este el comienzo del «apocalipsis cibernético»?
No hay pruebas de una caída general de Internet. Hay dos vulnerabilidades graves en una tecnología muy extendida, un panorama de amenazas en el que algunos delincuentes ya emplean IA y organizaciones que deben corregir sus servidores con rapidez. Son hechos distintos que, juntos, justifican atención; no una profecía de colapso.
Si hay una escena inquietante aquí, no es una máquina que se rebela: es la facilidad con la que una debilidad conocida puede quedar expuesta mientras el atacante automatiza tareas y el responsable de la web todavía no ha revisado sus actualizaciones.
La respuesta sigue siendo bastante terrenal: identificar instalaciones afectadas, aplicar las correcciones y comprobar si hay indicios de explotación. El miedo vende clics; arreglar los servidores evita problemas.
Fuentes oficiales y técnicas consultadas (21–22/10/2026)
- PHP Security Team, aviso del 21/10/2026. Versiones corregidas, alcance técnico y medidas provisionales: https://www.php.net/archive/2026.php
- ENISA y organismos de la UE, comunicado conjunto del 21/10/2026. Riesgo de ejecución remota y prioridad de actualización: https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
- Cloudflare, 21/10/2026. Descripción técnica y medidas WAF: https://blog.cloudflare.com/php-vulnerabilities-waf-protection
- Anthropic, informe de inteligencia sobre abuso de IA (septiembre de 2026). Casos documentados de asistencia de IA en operaciones maliciosas: https://www.anthropic.com/threat-intelligence-report-september-2026
- NCSC de Nueva Zelanda, Cyber Threat Report 2026. Evaluación del impacto de IA en velocidad y escala de ciberataques: https://www.ncsc.govt.nz/insights-and-research/cyber-threat-reports/cyber-threat-report-2026/
- INCIBE, canal oficial español: https://www.incibe.es/
- AEPD, autoridad española de protección de datos: https://www.aepd.es/
Publicado: 23/10/2026.
Este artículo puede haberse elaborado con apoyo de herramientas de inteligencia artificial. Ver politica de IA
Puedes apoyar el proyecto o compartir este artículo con un clic. Aquí al menos hay una salida útil de verdad.