Dos fallas en el núcleo de PHP, el lenguaje de programación que sirve la mayor parte de la web, permiten que un atacante ejecute código en un servidor sin ninguna contraseña. Las dos llevaban unos 14 años en el lenguaje. Ninguna fue encontrada por una persona leyendo código.
El proyecto PHP publicó versiones corregidas el 21 de octubre de 2026 —el mismo día en que la investigación se hizo pública— y pidió a los administradores instalarlas de inmediato, o bajar sus sitios hasta poder hacerlo.
Qué hacen las fallas
Las dos vulnerabilidades se identifican como CVE-2026-109618 y CVE-2026-109619, y el proyecto PHP describe ambas como vías de ejecución remota de código sin autenticación. Tienen una calificación de gravedad combinada de 9,2 sobre 10.
La primera abusa del modo en que PHP maneja la falta de memoria: el intérprete puede interrumpirse cuando los datos internos de una petición están apenas a medio armar, y la limpieza posterior trata el dato roto como si estuviera íntegro. La segunda deja con vida parte del estado interno de una petición después de liberar la memoria que lo contenía, de manera que una petición posterior atendida por el mismo proceso puede tomar la versión obsoleta antes de que la inicialización la borre.
Wiz Research, que publicó los hallazgos con el nombre PHP2Shell, afirma que el par también permite leer de forma remota el contenido de la memoria del proceso de PHP. Esa memoria suele guardar contraseñas, tokens de autenticación, claves de API y certificados.
Como el defecto está en PHP mismo y no en una aplicación concreta, un sitio puede quedar expuesto incluso cuando su propio código está escrito con cuidado. El proyecto PHP señala las instalaciones con mod_php como las de mayor riesgo: allí una petición sin autenticación puede disparar el problema antes de que corra una sola línea del código de la aplicación.
Cómo las encontraron
El hallazgo corrió por dos caminos que no se conocían entre sí.
Calif, una firma de pruebas ofensivas con IA, dio con el primer problema el 1 de agosto usando GPT-5.6 Sol, de OpenAI. Wiz llegó de forma independiente el 19 de agosto, con Gemini 4 Argon, de Google, GPT-5.6 Sol y su propio sistema Wiz Atlas; según Wiz, Gemini 4 Argon contribuyó no solo a encontrar la falla, sino a construir un exploit funcional, detectar ataques y verificar el parche. Wiz informó lo que tenía al equipo de PHP el 24 de agosto.
OpenAI coordinó después un grupo que incluyó a Wiz, Calif, el proyecto PHP, Cloudflare, Quarkslab y agencias del gobierno estadounidense para preparar la corrección antes de cualquier anuncio público.
Una versión más limitada de la misma debilidad había aparecido en 2024 y entonces se consideró menor.
El parche, y la carrera que vino después
PHP publicó cuatro versiones de seguridad el 21 de octubre: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las versiones 8.1 y anteriores ya no reciben actualizaciones del proyecto; se publicaron backports mínimos para PHP 7.4, 8.0 y 8.1 para administradores dispuestos a compilar desde el código fuente.
El proyecto también enumeró cambios de configuración que reducen la exposición —limitar el tamaño de la petición, desactivar el seguimiento del progreso de subida de sesión—, aunque advierte con claridad que no vuelven segura la instalación. Actualizar es la única corrección completa.
La escala de lo que hay que actualizar es la parte incómoda. PHP corre en cerca del 70% de todos los sitios web, y solo WordPress, construido sobre él, representa alrededor del 40%. Palo Alto Networks identificó 22,6 millones de instancias que podrían estar vulnerables.
Los atacantes se movieron más rápido que la mayoría de los administradores. Cloudflare registró decenas de miles de intentos de explotación en los 45 minutos posteriores a la filtración de la noticia, cientos de miles en dos horas y millones hacia la noche del 21 de octubre. Amazon Web Services dijo que la falla estaba "siendo ahora explotada ampliamente en entornos reales" y reportó sondeos días antes de la divulgación pública, lo que sugiere que la información se escapó temprano del grupo coordinado.
Agencias de gobierno de los Países Bajos y de Finlandia bajaron sitios por precaución, y Archive.org quedó fuera de línea de forma temporal. La división cibernética del FBI (la policía federal estadounidense), la National Security Agency (NSA, la agencia de inteligencia de señales de Estados Unidos), el primer ministro de Japón y el equipo de respuesta a emergencias informáticas de la Unión Europea pidieron a las organizaciones aplicar el parche.
Por qué este caso se lee como un punto de quiebre
La lección técnica es conocida: un error de memoria de una década en infraestructura ampliamente instalada, un parche a toda prisa, una carrera contra quienes ya están rastreando la red en su busca.
Lo nuevo es quién lo encontró. Wiz sostiene que el episodio "marca un punto de inflexión de la IA", y la razón es la simetría: la misma capacidad que localizó un error oculto durante 14 años también acorta el trabajo de convertirlo en un ataque utilizable. OpenAI hizo la misma observación sobre sus propios modelos. TJ Sayers, del Center for Internet Security, dijo que el caso muestra que la IA puede tanto revelar fallas enterradas como convertir cadenas complejas de explotación en ataques prácticos.
Gang Wang, de la Universidad de Illinois, calificó el impacto potencial de "masivo" para los sitios que no se actualicen a tiempo.
Eso apunta en una dirección concreta. Aquí los defensores ganaron meses de ventaja porque los investigadores reportaron en privado y el parche se coordinó. Nada en estas herramientas garantiza ese orden la próxima vez.
Con información del archivo de lanzamientos del proyecto PHP, de Wiz Research y de Fortune.
