PHP2Shell se conoció como el nombre de dos vulnerabilidades del núcleo de PHP, pero la señal que un desarrollador detectó en 2024 concernía a una sola: la causa raíz relacionada con el agotamiento de memoria de CVE-2026-109618. Según el relato de la PHP Foundation, surgió mientras se trabajaba en un hallazgo de una auditoría externa de Quarkslab. En aquel momento no se había demostrado un exploit concreto.
La historia de la corrección y de los informes posteriores tiene varios participantes. Para el contexto sobre las medidas dirigidas a operadores tras la inclusión de PHP2Shell en el catálogo KEV, puedes consultar la cobertura previa de NeoTeo.
Qué se detectó en 2024
La alerta temprana no equivalía a haber descubierto las dos vulnerabilidades de PHP2Shell como fallos explotables. El relato de la PHP Foundation se refiere a indicios de un problema de gestión de memoria asociado a CVE-2026-109618, mientras se atendía una observación de la auditoría de Quarkslab. No describe un exploit concreto demostrado en 2024.
Ese alcance importa para entender la cronología: la relación entre un indicio técnico y una vulnerabilidad explotable no es automática. En este caso, la señal inicial se refería a la causa raíz de uno de los fallos; los informes posteriores describieron hallazgos de ejecución remota de código (RCE, por sus siglas en inglés).
Por qué se demoró la corrección
La PHP Foundation atribuyó la demora a decisiones técnicas y organizativas. Las soluciones consideradas podían afectar a la compatibilidad con versiones anteriores, generar riesgos de denegación de servicio o causar problemas con extensiones de terceros. El proceso de decisión y la falta de recursos también contribuyeron a que el trabajo se alargara durante meses, según el relato de la Foundation.
No se trataba, por tanto, de escoger entre un parche sin costes y dejar el problema intacto: las opciones descritas implicaban posibles efectos en el funcionamiento de PHP y su ecosistema. La Foundation reconoció además problemas en su proceso de decisión.
Los informes posteriores llegaron de varios equipos
La secuencia de 2026 recoge aportaciones distintas. Ryan Austin, investigador de Calif, comunicó un hallazgo de RCE el 11 de agosto. Ese mismo día, OpenAI informó por separado de la misma causa raíz, según los relatos publicados. Wiz Research comunicó su investigación al equipo de seguridad de PHP el 24 de agosto. El relato de la PHP Foundation sitúa el envío de vectores de ataque adicionales de OpenAI el 18 de septiembre.
| Fecha | Acontecimiento |
| 2024 | Un desarrollador de PHP detectó indicios del problema de gestión de memoria durante el trabajo sobre un hallazgo de la auditoría de Quarkslab. |
| 11 de agosto de 2026 | Ryan Austin, de Calif, comunicó un hallazgo de RCE; OpenAI informó por separado de la misma causa raíz. |
| 24 de agosto de 2026 | Wiz Research comunicó su investigación al equipo de seguridad de PHP. |
| 18 de septiembre de 2026 | OpenAI envió vectores de ataque adicionales, según el relato de la PHP Foundation. |
La secuencia atribuye informes a investigadores y organizaciones diferentes; no adjudica el descubrimiento de ambas vulnerabilidades a un único modelo de IA.
