La presidenta Claudia Sheinbaum confirmó en su conferencia matutina del 28 de octubre de 2026 que varias páginas del gobierno federal se bajaron de manera temporal como medida preventiva ante la alerta internacional por PHP2Shell, un par de fallas críticas en el motor de PHP. Para quienes operan sitios o aplicaciones web en la región, el mensaje es claro: este riesgo ya llegó a México y la ventana para parchar es corta.
PHP2Shell agrupa dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, ambas con CVSS v4.0 de 9.2. Según el análisis de Recorded Future, permiten ejecución remota de código sin autenticación. Se originan en el propio motor de PHP, no en una aplicación concreta, por lo que pueden afectar a sitios construidos sobre WordPress, Drupal, Joomla o desarrollos a la medida. Una de ellas está relacionada con el manejo de condiciones de poca memoria que dejan datos internos de una petición a medio llenar; la otra, con información de la petición que persiste después de liberar la memoria.
