La voz de alarma partió de la agencia estadounidense CISA, pero en cuestión de horas recorrió el mundo: dos vulnerabilidades críticas en PHP exigían parcheo inmediato. Para los millones de sitios que dependen de este lenguaje —desde plataformas gubernamentales hasta el blog más modesto—, esta semana se convirtió en una carrera contra el reloj.
La alerta que encendió todos los semáforos
CISA instó a actualizar de inmediato a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, las únicas versiones que corrigen las fallas CVE-2026-109618 y CVE-2026-109619, conocidas como «php2shell». Su recomendación más drástica: quienes no puedan actualizar de inmediato, o sigan usando versiones sin soporte como PHP 8.1 o anteriores, deberían desconectar sus sistemas hasta parchearlos.
Las consecuencias prácticas ya se ven: sitios de ministerios y empresas suspendieron operaciones, proveedores de alojamiento redoblaron comunicaciones con clientes, y la telemetría de Patchstack pasó de reportar «explotación activa» a registrar ataques de sondeo en las horas posteriores al lanzamiento.
¿Qué hace tan peligrosas a estas fallas?
Ambas recibieron 9.2 puntos en la escala CVSS, la categoría más grave. La CVE-2026-109618 corrompe memoria cuando una petición agota el límite de memoria del servidor en un momento inoportuno. La CVE-2026-109619 permite que datos internos de una petición sobrevivan tras liberarse su memoria y sean explotados por la siguiente solicitud del mismo proceso, con capacidad adicional de filtrar contraseñas, claves API y certificados.
El detalle que inquieta a los expertos: en la configuración mod_php de Apache existe un exploit funcional que se dispara antes de que el código de la aplicación siquiera corra. Y no hay actualización de WordPress, Joomla o Drupal que lo solucione: la falla está en PHP mismo, no en los gestores de contenido.
El papel estelar de la inteligencia artificial
La historia del descubrimiento es tan importante como el parche. La Fundación PHP admitió que el problema raíz se conocía desde la auditoría de Quarkslab en 2024, pero que la falta de recursos y una «falla estructural» en su gobernanza congelaron la solución durante casi dos años.
En 2026, la ecuación cambió. Con herramientas como Claude Mythos (Anthropic) y Daybreak Red (OpenAI), el escaneo del código se aceleró: Calif halló una ejecución remota de código en julio, OpenAI la confirmó ese mismo día y Wiz reportó vectores adicionales en agosto. OpenAI, que coordino la respuesta bajo su iniciativa «Patch the Planet», sostiene que la IA de frontera llegó antes que los atacantes. La Fundación lo celebra, pero insiste: cada decisión y cada parche siguen siendo obra de personas.
Filtraciones, dedos acusadores y una factura pendiente
La recta final estuvo lejos de ser serena. Los identificadores de las vulnerabilidades circularon el 20 de octubre, Calif difundió por error un video con su prueba de concepto, y Chainguard rompió el embargo seis horas antes publicando el parche compilado — tras pedirle a un modelo de IA, literalmente, que «encontrara malas vulnerabilidades en PHP».
La Fundación PHP cerró su comunicado con el reclamo que da sentido a todo el episodio: financiación sostenida de empresas, proveedores cloud y gobiernos. La IA encuentra fallas más rápido que nunca, pero sin ingenieros pagados que las corrijan, internet seguirá corriendo sobre cimientos que nadie puede mantener.
Hashtags: #CISA #PHP #php2shell #AlertaDeSeguridad #Ciberataques #OpenAI #Wiz #ParcheUrgente #SeguridadWeb