Una alerta global de ciberseguridad sacudió este miércoles 21 de octubre al mundo tecnológico: la PHP Foundation reveló dos vulnerabilidades críticas en PHP —el lenguaje que hace funcionar una enorme porción de los sitios y aplicaciones web del mundo—, bautizadas como «php2shell» e identificadas como CVE-2026-109618 y CVE-2026-109619, con cerca de 1.5 millones de los 2.6 millones de servidores evaluados inicialmente expuestos.
Halladas por inteligencia artificial, reportadas por dos equipos
Lo que hace histórica la alerta es quién la provocó. La firma de seguridad Calif identificó las fallas con ayuda del modelo de IA GPT-5.6 Sol, dentro de su iniciativa «Patch the Planet», mientras Wiz —propiedad de Google— descubrió y reportó ambas vulnerabilidades de forma independiente, en un caso de doble descubrimiento que los expertos leen como una señal de la nueva era de la ciberseguridad: los modelos de IA de vanguardia encadenaron complejos fallos de seguridad de memoria para convertirlos en exploits prácticos y funcionales.
Wiz Research, que reportó los errores a PHP, sostiene que todas las versiones del lenguaje desde la 5.4 —lanzada hace más de una década— están afectadas por al menos uno de los problemas. Una de las fallas permite que el estado interno de una petición sobreviva después de que su memoria ha sido liberada, y que una petición posterior manejada por el mismo proceso use ese estado residual antes de reiniciarse. Los fallos están en el intérprete de PHP, no en una aplicación concreta, por lo que cualquier sitio con una versión vulnerable está expuesto.
WordPress, Drupal y Joomla en el radar
La gravedad se multiplica por el ecosistema: gestores de contenidos como WordPress, Drupal y Joomla operan sobre PHP, de modo que las consecuencias podrían alcanzar a una cantidad enorme de sitios web, aunque el nivel real de exposición de cada página depende de sus versiones, configuraciones y medidas de protección implementadas. Tras el anuncio, instituciones europeas y otras organizaciones adoptaron medidas preventivas que incluyeron la desconexión temporal de servicios, mientras los responsables de seguridad recomendaban aplicar de inmediato las actualizaciones del parche de emergencia y revisar los sistemas afectados.
La doble cara de la IA en la seguridad
El episodio demuestra que la inteligencia artificial puede acelerar el descubrimiento de problemas informáticos que antes podían permanecer ocultos durante años, pero plantea el desafío inverso: las mismas capacidades están a disposición de los delincuentes informáticos para cazar sistemas vulnerables. Para los administradores web, la recomendación es tan vieja como vigente: mantener actualizados servidores, lenguajes y componentes, y seguir los avisos oficiales. Esta vez, la carrera entre parche y exploit la ganó la IA — pero la próxima no está garantizada.
#PHP #Ciberseguridad #Vulnerabilidades #InteligenciaArtificial #Wiz #Tech
La entrada caduca en 1:04pm el jueves, 22 abril 2027