Dos fallas críticas de PHP ponen en jaque a cientos de páginas web
OpenAI y Wiz detectaron dos fallas de seguridad en PHP con ayuda de inteligencia artificial. El parche para corregirlas afectó a cientos de sitios web.
Patch the Planet, una iniciativa impulsada por OpenAI, y la empresa Wiz detectaron dos fallas de seguridad en el lenguaje de programación de código abierto PHP y el parche para arreglarlas puso en jaque a cientos de páginas web.
La empresa Calif, que es miembro de la iniciativa, identificó las vulnerabilidades en PHP mediante el uso del modelo de inteligencia artificial GPT‑5.6 Sol en agosto pasado, a lo que se añade que la compañía Wiz a través de su herramienta Atlas y otras herramientas como Gemini 4 Argon también descubrió y notificó de forma independiente ambas fallas.
Las vulnerabilidades, bautizadas como CVE-2026-109618 y CVE-2026-109619, estuvieron ocultas en el código fuente de PHP durante más de una década y el riesgo radica en que afectan al propio entorno de ejecución de este lenguaje, por lo que pueden permitir a los atacantes ejecutar código malicioso en servidores vulnerables, exponer datos de clientes o interrumpir servicios.
Esto último es grave considerando que PHP es utilizado por casi 70% de los sitios web alrededor del mundo. Por ejemplo, sitios clave como WordPress, Drupal, Joomla y Magento usan dicho lenguaje.
Según tenemos entendido, la inteligencia artificial de vanguardia descubrió estas vulnerabilidades antes que los atacantes, lo que abrió una oportunidad para que los responsables del mantenimiento y los proveedores de seguridad prepararan soluciones y protecciones antes de que se hicieran públicas”, afirmó Patch the Planet en un comunicado.
Patch the Planet y Wiz colaboraron con PHP Foundation para que ésta lanzara este miércoles los parches PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 que arreglan ambas fallas e, incluso, aceptó que los primeros indicios de este problema fueron detectados en una auditoría externa hace dos años.
En 2024, se planteó la hipótesis de una posible vulnerabilidad, pero no se encontraron vectores concretos y otros problemas con un impacto claro eclipsaron estas preocupaciones”, detalló PHP Foundation en un comunicado.
El impacto
Dado que PHP impulsa gran parte de la web, incluyendo servicios gubernamentales, tiendas en línea, bancos, sitios de medios y gran parte del software que las empresas utilizan a diario, varias tuvieron que interrumpir sus operaciones para aplicar los parches.
Destacó el caso de sitios web en Europa como la página del gobierno de Finlandia, la cual estuvo disponible parcialmente, y otros mostraban mensajes como “interrupción temporal”, “mantenimiento” o “error 503”.
También se considera que la interrupción de sitios como Smartschool, de las empresas de medios Roularta y DPG Media, del hospital AZ Monica de Amberes, la página del Ministerio de Asuntos Exteriores y el Centro Belga de Ciberseguridad se debió a este incidente.
El Buró de Investigaciones de Estados Unidos, mejor conocido como FBI, recomendó a las empresas que, si no es posible una actualización inmediata, desconecten el sistema hasta que se pueda solucionar completamente el problema.
También pide que hagan un inventario de dónde se ejecuta PHP en su entorno, priorizando los sistemas con acceso a internet y los productos de proveedores que incluyen dicho lenguaje, así como supervisar los servidores web en busca de actividad sospechosa.