El miércoles 21 de octubre de 2026, varias autoridades emitieron alertas de alcance excepcional por las vulnerabilidades críticas de PHP CVE-2026-109618 y CVE-2026-109619. Ambas reciben el nombre de php2shell. Los desarrolladores de PHP publicaron un aviso de seguridad urgente. La reacción recordó por su dimensión a Heartbleed y a Shellshock, la vulnerabilidad de Bash.

La Oficina Federal Alemana de Seguridad de la Información, BSI, recomendó retirar de Internet los sitios afectados hasta que estuvieran disponibles los paquetes actualizados. La agencia estadounidense CISA respaldó la recomendación. Reuters informó de sitios gubernamentales desconectados en Dinamarca y Finlandia. Francia y Países Bajos adoptaron medidas similares, según la agencia. En Alemania, Charité retiró por completo su sitio web. Partes de berlin.de quedaron desactivadas y la Freie Universität Berlin limitó sus servicios informáticos. La Internetwache de la policía de Berlín no estaba accesible, informó dpa. También dejaron de estar disponibles sitios de administraciones y cuerpos policiales de Baviera y Baja Sajonia. NDR señaló que algunas páginas del norte de Alemania ya habían vuelto a funcionar.

Los especialistas observaron numerosos intentos de explotación desde el miércoles. Cloudflare comunicó a Reuters que había detectado millones de intentos, iniciados unas diez horas antes de que los detalles se publicaran a las 16:00, hora local. Amazon describió una explotación amplia en Internet. Su equipo de inteligencia de amenazas había visto intentos cuatro días antes de la divulgación pública, según la empresa. Amazon no sabe cómo obtuvieron los atacantes la información del exploit. Podría existir una relación con otra vulnerabilidad de subida de archivos. En el momento de la publicación no se había confirmado ningún ataque exitoso.

Los paquetes corregidos fueron llegando gradualmente durante la tarde del miércoles. Debian los puso a disposición después de las 21:00. Fedora y Gentoo siguieron esa misma noche, junto con Ubuntu y Red Hat. Slackware publicó sus paquetes poco antes del informe y SUSE los había ofrecido recientemente. Los administradores deben instalar cuanto antes las actualizaciones disponibles y comprobar si PHP está presente sin que lo sepan. PHP puede instalarse como dependencia en Raspberry Pi y otros ordenadores de placa única usados como pequeños servidores. El artículo plantea que desconectar sitios podría convertirse en una medida defensiva más habitual si la detección de vulnerabilidades asistida por IA sigue descubriendo fallos graves.