# PHP2Shell: dos fallos críticos en PHP y la carrera parche-exploit

Episodio de [Descodificado](https://escuchario.semeescucha.es/podcast/descodificado), de Código, voz editorial de Descodificado.

- Publicado: 22 de octubre de 2026
- Duración: 10 min
- Audio: https://anchor.fm/s/11613d140/podcast/play/127873124/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-9-22%2Fe725d2c5-4c9e-1e53-6001-2ab5fa9c0807.mp3
- Página: https://escuchario.semeescucha.es/podcast/descodificado/episodio/86060995-php2shell-dos-fallos-criticos-en-php-y-la-carrera-parche-exploit

## Sobre este episodio

PHP2Shell importa menos como prueba de que la IA ya rompe Internet que como señal de que el tiempo entre parche y explotación se acorta. La IA ayudó a descubridores y defensores a encontrar y encadenar fallos que llevaban años sin explotarse. El parche, los avisos y las pruebas de concepto aparecen en horas, y el embargo de un fallo así ya no garantiza ventaja. Esto es interpretación sustentada en los informes de Wiz, OpenAI y Amazon, no un hecho demostrado por una auditoría independiente. PHP está en el motor de WordPress, Drupal, Joomla y MediaWiki, así que un fallo en el núcleo expone sitios cuyo código de aplicación es correcto. Wiz cifra en el 70 % la cuota de webs con PHP; es una cifra de la empresa que no he verificado. Lo nuevo no es solo el tamaño de la superficie, sino el calendario. La divulgación se aceleró por una filtración, Amazon vio un intento anterior a la fecha y los avisos oficiales piden medir el parcheo en horas. Interpretación: el valor defensivo de un embargo coordinado se erosiona cuando el coste de convertir un parche en exploit baja, y eso afecta a cualquier proyecto con mantenimiento lento. Qué vigilar: Revisar el 2026-10-29 si CISA, un proveedor de respuesta a incidentes o un laboratorio independiente reportan compromisos confirmados de servidores reales por CVE-2026-109618 o CVE-2026-109619, y si un tercero reproduce, contra un PHP estándar en contenedor sin vulnerabilidades adicionales, una prueba de concepto de ejecución remota. También si Amazon, Cloudflare o Shadowserver publican cifras de sistemas aún sin parchear. Descodificado: hay noticias, y luego está lo que significan. Sigue Descodificado en tu plataforma para recibir el próximo episodio.

Anterior: [eMudhra y sus claves triviales: ocho certificados que HTTPS no debía aceptar](https://escuchario.semeescucha.es/podcast/descodificado/episodio/67659278-emudhra-y-sus-claves-triviales-ocho-certificados-que-https-no-debia-aceptar)
Siguiente: [La factura de la IA llega: Meta quema caja y el Nasdaq se hunde](https://escuchario.semeescucha.es/podcast/descodificado/episodio/104663583-la-factura-de-la-ia-llega-meta-quema-caja-y-el-nasdaq-se-hunde)

## Últimos episodios de Descodificado

- [La factura de la IA llega: Meta quema caja y el Nasdaq se hunde](https://escuchario.semeescucha.es/podcast/descodificado/episodio/104663583-la-factura-de-la-ia-llega-meta-quema-caja-y-el-nasdaq-se-hunde) · 23 de octubre de 2026 · 9 min
- [eMudhra y sus claves triviales: ocho certificados que HTTPS no debía aceptar](https://escuchario.semeescucha.es/podcast/descodificado/episodio/67659278-emudhra-y-sus-claves-triviales-ocho-certificados-que-https-no-debia-aceptar) · 21 de octubre de 2026 · 10 min
- [Brasil exige a Meta que pruebe en 24 horas que no inclina la elección](https://escuchario.semeescucha.es/podcast/descodificado/episodio/49991933-brasil-exige-a-meta-que-pruebe-en-24-horas-que-no-inclina-la-eleccion) · 20 de octubre de 2026 · 9 min
- [Un dron ataca un centro de datos de VK: tras Yandex, otra nube rusa bajo fuego](https://escuchario.semeescucha.es/podcast/descodificado/episodio/28638958-un-dron-ataca-un-centro-de-datos-de-vk-tras-yandex-otra-nube-rusa-bajo-fuego) · 19 de octubre de 2026 · 9 min
- [La demanda de IA aguanta; el coste del crédito la pone a prueba](https://escuchario.semeescucha.es/podcast/descodificado/episodio/4403224-la-demanda-de-ia-aguanta-el-coste-del-credito-la-pone-a-prueba) · 16 de octubre de 2026 · 9 min