El proyecto PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas capaces de permitir la ejecución remota de código sin autenticación. Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619 y apodadas “php2shell”, no afectan directamente a Bitcoin o Ethereum, pero sí pueden comprometer sitios web que sirven de puerta de entrada a usuarios de criptomonedas.
Una actualización urgente para los servidores PHP
El equipo de seguridad de PHP asignó a ambas vulnerabilidades una puntuación de 9,2 sobre 10 en la escala CVSS v4.0, después de que algunos primeros reportes las situaran en 10,0. La publicación se produjo fuera del calendario habitual de PHP, tras anunciarse una actualización de emergencia para el 21 de octubre a las 14:00 UTC.
Según Huntress, los detalles técnicos se filtraron en internet el 20 de octubre, antes de la divulgación coordinada y de que estuvieran disponibles los parches. El aviso oficial de PHP señala que no existen mitigaciones completas y que actualizar es la única opción segura. Joe Ferguson, responsable de la versión 8.6 de PHP, resumió el alcance de los ajustes de configuración con una advertencia recogida por Tenable: “las opciones de ini no te van a salvar”.
El problema afecta a las instalaciones de PHP que atienden solicitudes web. La lista incluye PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. PHP considera especialmente elevado el riesgo en mod_php, donde existe un exploit demostrado. Sansec también ha señalado que están afectados tanto mod_php como PHP-FPM.
Las ramas 8.1 y anteriores ya no reciben soporte regular. Aun así, se publicaron parches mínimos de código fuente para las versiones 7.4, 8.0 y 8.1 en GitHub, según LinuxCompatible. La extensión del problema es relevante: PHP está presente en el 69,3% de los sitios cuyo lenguaje de servidor se conoce, de acuerdo con datos de W3Techs citados por Tenable, y WordPress funciona sobre PHP.
Qué se sabe sobre los ataques
La información disponible sobre explotación activa todavía no es concluyente. Dane Knecht, director de tecnología de Cloudflare, afirmó que la compañía estaba viendo surgir los primeros ataques, mientras que watchTowr aseguró haber reproducido la CVE-2026-109618 en un entorno de laboratorio.
También circula código que afirma explotar las vulnerabilidades. Tenable no ha verificado que funcione y advierte de que puede incluir malware. Huntress, por su parte, indicó que no había detectado explotación entre sus clientes a las 10:00, hora del este de Estados Unidos, del 21 de octubre.
Cloudflare desplegó reglas temporales para filtrar tráfico, aunque esa protección solo cubre las solicitudes que pasan por su red. Por ello, el cortafuegos de aplicaciones web no sustituye a la actualización del servidor. Los administradores también deberían revisar posibles webshells, tareas cron, cuentas nuevas y procesos de PHP que lancen consolas o herramientas de descarga, según las recomendaciones de Huntress.
El riesgo indirecto para los usuarios de criptomonedas
Una intrusión de este tipo no altera la red de Bitcoin ni la de Ethereum. El riesgo aparece en la capa web: si un atacante toma el control de un servidor, puede modificar el contenido que recibe el visitante sin que el propietario del sitio lo advierta de inmediato.
En un portal de criptomonedas, un blog de un exchange o la web de un proyecto de tokens, eso podría traducirse en un botón falso para “conectar billetera”, un formulario de phishing o una herramienta diseñada para drenar fondos. El atacante no necesitaría romper la blockchain; bastaría con manipular una página legítima para inducir al usuario a aprobar una transacción o firmar un mensaje malicioso.
Hasta el momento, ninguna de las fuentes consultadas ha informado de sitios cripto comprometidos por estas vulnerabilidades. Aun así, se recomienda comprobar con especial cuidado las URL, las solicitudes de conexión y cada aprobación o firma que aparezca en la billetera, incluso cuando proceda de una página conocida.
Las fallas fueron identificadas en parte con ayuda de inteligencia artificial. OpenAI explicó que la firma Calif encontró una de ellas mediante GPT-5.6 Sol, dentro de su iniciativa Patch the Planet, mientras que Wiz descubrió y comunicó las dos de forma independiente. Los mantenedores de PHP lideraron la corrección con apoyo de Cloudflare y otros socios.
