Miles de sitios web en Estados Unidos y Europa quedaron fuera de servicio este miércoles tras la divulgación de dos vulnerabilidades críticas en PHP, el lenguaje de programación con el que funciona alrededor de 70% de los sitios web que usan un lenguaje de servidor detectable, incluidos los construidos con WordPress, Drupal y Joomla.
Las fallas, registradas como CVE-2026-109618 y CVE-2026-109619 y bautizadas en conjunto como «PHP2Shell», tienen una calificación de gravedad de 9.2 sobre 10. Permiten a un atacante ejecutar código a distancia sin iniciar sesión y leer la memoria del servidor, donde puede haber información sensible como contraseñas.
Parches de emergencia y detalles filtrados
Los responsables de PHP liberaron las correcciones a las 13:30 horas UTC (7:30 horas del centro de México) en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los errores afectan a todas las versiones desde la 5.4 hasta la 8.5.11. Para PHP 8.1 y anteriores, que ya no tienen soporte, no habrá actualizaciones oficiales; sólo se publicaron parches de código fuente para las ramas 7.4, 8.0 y 8.1.
El problema se agravó porque detalles técnicos se filtraron antes de la fecha prevista de divulgación, por lo que atacantes y defensores conocieron el riesgo al mismo tiempo. El equipo de respuesta de la Unión Europea, CERT-EU, advirtió que ya circulan pruebas de concepto, lo que eleva la probabilidad de ataques.
Sitios desconectados por precaución
Entre los servicios que quedaron total o parcialmente fuera de línea mientras aplicaban la corrección estuvieron partes de Wikipedia, varios sitios gubernamentales europeos, el servicio de marcadores Pinboard y los foros 4chan y Something Awful. La Fundación Wikimedia informó que trabajaba para atender las vulnerabilidades.
La Agencia de Seguridad Nacional (NSA) de Estados Unidos pidió a las organizaciones actualizar sus sistemas o, si no pueden hacerlo de inmediato, desconectarlos. La agencia de ciberseguridad CISA hizo el mismo llamado y precisó que, al momento de su alerta, no había observado explotación activa de las fallas.
La IA, en el centro del hallazgo
Investigadores de OpenAI, de la firma de ciberseguridad Wiz (propiedad de Google) y de la empresa Calif informaron que usaron inteligencia artificial para encontrar y corregir los errores, detectados a finales de agosto y mantenidos en reserva hasta que hubiera parche. Wiz dijo que un solo investigador completó en una semana un trabajo que antes habría tomado meses a un equipo de primer nivel.
Wiz comparó el caso con Heartbleed, la falla de cifrado de 2014 que expuso a cerca de dos tercios de la web. Según sus investigadores, los defectos existían desde hacía años, pero demostrar que podían explotarse requería una cadena de pasos tan compleja que la IA redujo esa barrera y convirtió una falla antigua en una vulnerabilidad aprovechable.
La propia Fundación PHP reconoció que un investigador había detectado con IA, desde 2024, los primeros indicios de uno de los fallos, pero que entonces se consideró una posibilidad teórica; calificó el retraso en atenderlo como «un fallo estructural». A los administradores de sitios se les recomienda actualizar PHP de inmediato y vigilar procesos sospechosos en sus servidores.
Deja una respuesta