La IA encuentra dos fallos graves en PHP y gran parte de la web corre a actualizar

Dos fallos graves en PHP, el software que hace funcionar cerca del 70 por ciento de los sitios web del mundo, se hicieron públicos el miércoles 21 de octubre, y los propietarios de sitios en todo el mundo se apresuraron a instalar correcciones de emergencia. Los desarrolladores de PHP publicaron versiones actualizadas el mismo día y pidieron a todos los usuarios que actualizaran de inmediato.

Los fallos se conocen como CVE-2026-109618 y CVE-2026-109619, y los investigadores los llaman en conjunto php2shell. Ambos tienen una gravedad de 9,2 sobre 10. PHP trabaja en los servidores, procesa formularios y recupera información para sitios creados con plataformas como WordPress, Drupal y Joomla.

Qué hacen los fallos

Los fallos están en cómo PHP maneja los errores al procesar solicitudes web. Si una solicitud es demasiado grande y PHP se queda sin memoria, el software no libera la memoria que intentó usar, explicó Cloudflare. Un atacante que manipule los datos en esa memoria puede bloquear el proceso, leer información sensible del servidor o ejecutar su propio código en la máquina, todo sin iniciar sesión.

Wiz, la empresa de seguridad propiedad de Alphabet, la matriz de Google, dijo que había demostrado ataques contra instalaciones de WordPress, Drupal y Joomla, y que podía leer contraseñas y credenciales de la memoria de un servidor. La unidad Unit 42 de Palo Alto Networks contó más de 22,6 millones de sistemas expuestos en internet que podrían ser vulnerables. No todos los sitios con PHP pueden ser explotados, porque las configuraciones difieren, pero los desarrolladores dijeron que todas las instalaciones que atienden solicitudes web están en riesgo.

La IA encontró los fallos y una filtración adelantó el calendario

La empresa Calif encontró el primer fallo usando el modelo GPT-5.6 Sol de OpenAI y lo reportó a PHP el 11 de agosto de 2026, según Reuters. Wiz encontró los fallos de forma independiente y reportó un segundo el 24 de agosto de 2026, también usando modelos de IA. Las correcciones se preparaban en secreto hasta que los detalles se filtraron en el foro Hacker News el martes 20 de octubre de 2026. Los desarrolladores adelantaron entonces la publicación un día.

OpenAI calificó los fallos como uno de los problemas de seguridad de mayor impacto en la memoria reciente y dijo que trabajó con la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad y la agencia CISA para que las guías llegaran a los operadores de servicios esenciales. La Casa Blanca dijo el miércoles que trabajaba para acelerar la entrega de la corrección y proteger las redes estadounidenses.

Gobiernos desconectan sitios antes que arriesgarse

La NSA, el FBI y CISA instaron el miércoles a las organizaciones a aplicar el parche de inmediato y a desconectar los sistemas que no pudieran asegurarse pronto. La NSA dijo que fallos de este tipo suelen dar al atacante un camino directo al sistema de archivos o a la base de datos de un servidor. Agencias de Reino Unido, Canadá, Australia y la Unión Europea emitieron avisos similares. El gobierno de Finlandia y la Cámara de Representantes de Países Bajos desconectaron sitios el miércoles mientras actualizaban.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Actualizar WordPress u otra aplicación no actualiza el PHP que está debajo, así que los propietarios necesitan actualizar el paquete del servidor o la confirmación de su proveedor de alojamiento. Cloudflare dijo que había activado reglas de cortafuegos para proteger a sus clientes. Expertos de watchTowr y Sophos dijeron que los delincuentes ya discutían los fallos y buscaban sistemas abiertos, aunque hasta el miércoles por la tarde no se había confirmado ningún ataque exitoso.

Fuentes

Reuters Nextgov Cybersecurity Dive USA Today