Si has seguido las noticias de tecnología, es probable que hayas oído hablar de un terremoto que ha sacudido internet en los últimos dos días. Quizá solo te hayas topado con dos códigos extraños: CVE-2026-109618 y CVE-2026-109619, conocidos informalmente como «PHP2Shell». Dos vulnerabilidades que han llevado a varias organizaciones a suspender sus servicios por precaución.
No se trató de un pequeño bug en un sitio web cualquiera, sino de dos vulnerabilidades críticas que permanecieron dormidas durante más de una década, desde 2011/2012, en el corazón de PHP, el lenguaje y el motor que sirven de base a gran parte de los sitios web de internet, desde blogs en WordPress hasta plataformas de comercio electrónico.
Queremos compartir contigo lo que ocurrió, cómo respondimos y lo que este episodio nos enseña sobre el futuro de la seguridad digital.
Para quien no es de código: ¿qué es, en realidad, “PHP2Shell”?
Para entender la gravedad de esto sin necesitar un curso de ingeniería de software, piensa en PHP como el motor de un coche y en internet como una autopista.
Hace unos 15 años, los creadores de PHP añadieron una funcionalidad llamada session.upload_progress, cuyo objetivo era sencillo: cuando un usuario envía un archivo pesado, como una fotografía o un vídeo, a través de un formulario web, el servidor calcula el porcentaje del envío para poder mostrar la clásica barra de progreso: 20%, 50%, 100%.
¿El problema? En el código interno en C, el lenguaje con el que se construye el propio motor de PHP, había un fallo sutil en la forma en que se liberaba la memoria cuando se producía un error.
Si un atacante enviaba una petición web malformada a propósito, con miles de cabeceras falsas o datos desordenados, el servidor podía agotar la memoria y entrar en un estado llamado Out of Memory.
En lugar de cerrar la puerta y bloquearlo todo de forma segura, el motor dejaba referencias de memoria “fantasma” colgadas y perdidas. En una segunda petición, el atacante podía aprovechar ese espacio de memoria para introducir sus propias instrucciones.
¿El resultado práctico? Lo que en seguridad se denomina RCE, o ejecución remota de código: el intruso obtiene la capacidad de ejecutar comandos en el servidor con los permisos del proceso afectado.
Un simple formulario web público podía convertirse en una puerta de entrada para controlar un servidor.
¿Por qué no se descubrió hasta 15 años después?
Esta es una de las partes más fascinantes y preocupantes de este episodio.
El código de PHP es open source. Está disponible públicamente desde hace décadas. A lo largo de 15 años, esas líneas pasaron por revisiones, auditorías y pruebas de seguridad sin que se identificaran estos fallos.
¿Qué ha cambiado? La inteligencia artificial y la potencia computacional puestas al servicio del análisis de código están ampliando la capacidad de encontrar problemas que antes exigían mucho más tiempo y trabajo humano.
Los modelos de lenguaje avanzados, combinados con herramientas automáticas de análisis de código y fuzzing, que pone a prueba los programas con grandes volúmenes de datos inesperados o malformados, permiten explorar comportamientos complejos a otra escala.
La IA está acelerando la lectura, el análisis y la correlación de flujos de ejecución. Eso ayuda a quienes protegen los sistemas, pero también puede dar más capacidad a quienes intentan atacarlos.
Un cambio de paradigma: el código cerrado no garantiza la seguridad
Durante décadas, parte de la industria se apoyó en una idea cómoda: la llamada security through obscurity, o seguridad por oscuridad.
La lógica era sencilla: “Si nuestro código está cerrado o compilado, a los atacantes les costará más entender cómo funciona.”
Pero un programa compilado o de código cerrado, por sí solo, no constituye una garantía de protección. Las herramientas de análisis e ingeniería inversa siguen evolucionando, y la IA está acelerando ese proceso.
Ya no podemos dar por hecho que algo es seguro solo porque siempre ha funcionado de la misma manera.
La seguridad exige varias capas de protección, una arquitectura resiliente, monitorización activa y la capacidad de responder rápidamente cuando surge una nueva amenaza.
¿Cómo respondió E-goi?
En cuanto se lanzó la alerta internacional, nuestro equipo de Ingeniería y Seguridad entró en acción.
La prioridad estaba clara: proteger los servicios y los datos de nuestros clientes, manteniendo la operación en funcionamiento.
La respuesta combinó mitigación inmediata, refuerzo de los filtros de entrada, aplicación de correcciones y auditoría de la infraestructura.
Nuestra respuesta en las primeras 24 horas
- 21 de octubre: evaluación de los servicios y servidores potencialmente afectados.
- 21 de octubre, por la tarde: desactivación preventiva de la funcionalidad vulnerable, sin interrupción de los servicios.
- 21 de octubre, por la tarde: refuerzo de los filtros de entrada para bloquear peticiones malformadas antes de que lleguen a las aplicaciones.
- 21 de octubre, por la noche: aplicación de las actualizaciones de seguridad publicadas.
- 22 de octubre, por la mañana: pruebas para verificar la eficacia de las medidas y auditoría de 369 servidores.
- 22 de octubre, a lo largo del día: continuación de la aplicación de las correcciones y de la verificación de los servicios.
Mitigación inmediata sin detener el negocio
Antes de actualizar toda la infraestructura, aplicamos una medida preventiva: desactivamos la funcionalidad vulnerable y recargamos los servicios de forma controlada.
Nuestros clientes siguieron enviando campañas sin interrupciones causadas por esta intervención.
Protección desde la entrada
Reforzamos los filtros en los puntos de entrada de la infraestructura para bloquear peticiones anómalas.
Si una petición con miles de cabeceras falsas intentaba entrar, se bloqueaba antes de llegar a los servidores de aplicaciones.
Auditoría y búsqueda de indicios de intrusión
Durante este proceso, auditamos los servidores y el resto de componentes de la infraestructura. Cruzamos registros y buscamos archivos sospechosos, conexiones anómalas y otros indicios de intrusión.
La auditoría realizada confirmó que todo estaba limpio, como debía ser.
Lo que este episodio enseña sobre la transparencia
Cuando una vulnerabilidad de esta magnitud se hace pública, evaluar el impacto puede llevar tiempo. Las organizaciones necesitan identificar los sistemas afectados, aplicar medidas de protección e investigar posibles indicios de explotación.
En E-goi creemos en la transparencia, en el rigor técnico y en la responsabilidad de proteger los datos y la confianza de nuestros clientes todos los días.
Contar con un equipo capaz de seguir los acontecimientos, evaluar el riesgo y aplicar medidas de protección en las primeras horas tras una alerta es esencial para responder a situaciones como esta.
¿Qué puedes hacer para proteger tus cuentas y tu negocio?
Los momentos de mayor atención mediática también pueden aprovecharse para intentos de phishing e ingeniería social. Un email que parece una alerta de seguridad puede ser, en realidad, la propia trampa.
Por eso, te dejamos algunas recomendaciones prácticas:
- Revisa la seguridad de tus contraseñas: si alguna es débil, está reutilizada o sospechas que ha quedado expuesta, cámbiala. Un gestor de contraseñas puede ayudarte a crear y guardar credenciales seguras.
- Nunca reutilices contraseñas: la contraseña de tu email no debe ser la misma que usas en las redes sociales o en una tienda online. Si uno de esos servicios se ve comprometido, el resto de tus cuentas puede quedar en riesgo.
- Activa la autenticación de dos factores: siempre que sea posible, utiliza una aplicación de autenticación o configura passkeys, cuando estén disponibles.
- Presta especial atención a los emails y enlaces sospechosos: si recibes un email que te pide cambiar la contraseña con urgencia, te avisa de que tu cuenta va a caducar o te solicita abrir archivos adjuntos inesperados, detente y confirma su origen. Accede al servicio a través de la dirección habitual.
- Mantén tus dispositivos actualizados: instala las actualizaciones de seguridad del sistema operativo, del navegador y de las aplicaciones que utilizas.
La seguridad es un trabajo diario
La seguridad de la información exige atención, mejora continua y trabajo en equipo.
La inteligencia artificial está dando nuevas capacidades a quienes desarrollan y protegen la tecnología, pero también a quienes intentan explotar sus fallos. La capacidad de detectar, corregir y responder tiene que seguir el ritmo de esa evolución.
En E-goi seguimos atentos y trabajando para proteger los servicios, los datos y la confianza de quienes cuentan con nosotros.
Chief Information Security Officer & Senior SysAdmin na E-goi