La IA descubre fallos críticos en PHP que afectan al 70% de la web

El 21 de octubre de 2026, el equipo de desarrollo de PHP publicó parches de emergencia para vulnerabilidades críticas en el motor central del lenguaje. Wiz Research descubrió estos fallos utilizando inteligencia artificial avanzada, revelando que casi todas las versiones de PHP lanzadas en los últimos diez años son susceptibles a la ejecución remota de código o al robo de datos sensibles. Los hallazgos impactan a un estimado del 70% de todos los sitios web globales, incluidas plataformas principales como WordPress, Drupal y Wikipedia.

Qué ocurrió

Wiz Research identificó múltiples problemas graves de seguridad de memoria dentro del propio núcleo de PHP, independientes de cualquier aplicación específica que se ejecute sobre él. Estas vulnerabilidades, registradas bajo CVE-2026-109618 y CVE-2026-109619, permiten a atacantes no autenticados ejecutar código arbitrario en servidores afectados o leer la memoria del proceso que contiene contraseñas, claves API y tokens de autenticación. Los bugs provienen de cómo PHP maneja los errores fatales, particularmente las condiciones de falta de memoria (out-of-memory), durante el procesamiento de solicitudes. Cuando una solicitud falla inesperadamente, el estado interno puede corromperse, dejando punteros colgantes que las solicitudes posteriores pueden reutilizar inadvertidamente.

El descubrimiento marca un cambio significativo en la investigación de vulnerabilidades. Aunque el código defectuoso había existido durante más de una década, demostrar su explotabilidad requería encadenar primitivas complejas de corrupción de memoria a través de diferentes versiones y configuraciones de PHP. Anteriormente, este nivel de análisis habría exigido meses de esfuerzo por parte de un gran equipo de investigadores de seguridad de élite. En este caso, los modelos de IA de vanguardia permitieron a un solo investigador desarrollar exploits funcionales en tan solo una semana. La divulgación coordinada involucró colaboración con el equipo de PHP, OpenAI, Calif y importantes proveedores de nube para asegurar que las mitigaciones estuvieran listas antes del lanzamiento público.

Cómo funciona

Las vulnerabilidades surgen de condiciones de carrera y errores de gestión de estado durante el manejo de errores. Un bug involucra al controlador de progreso de carga de sesiones. Si ocurre un error de falta de memoria mientras se decodifican los datos de sesión, el estado global del deserializador permanece publicado incluso después de que el montón (heap) de la solicitud es destruido. Una solicitud posterior manejada por el mismo proceso worker puede reclamar esa memoria liberada, engañando a PHP para que trate los datos controlados por el atacante como contabilidad interna válida. Esta primitiva de uso-after-free permite la corrupción de memoria y, cuando se combina con fuga de información, conduce a la ejecución remota de código.

Otro vector involucra el mecanismo de backtrace de errores fatales. PHP retiene el backtrace del último error fatal en una variable global. Si un error fatal de falta de memoria destruye el montón de la solicitud sin limpiar este puntero global, el worker sobrevive con una referencia colgante. Cuando la siguiente solicitud activa una salida diagnóstica, PHP accede a este puntero obsoleto, que ahora apunta a memoria reclamada por el atacante. Este uso-after-free entre solicitudes habilita la corrupción de memoria controlada. Adicionalmente, la confusión de tipos en la memoria compartida de OPcache permite a los atacantes corromper el estado compartido entre diferentes procesos worker, facilitando aún más la explotación en plataformas como WordPress.

Detalles clave

• Alcance: Afecta a versiones de PHP desde la 5.4, impactando aproximadamente al 70% de todos los sitios web.
• Severidad: Puntuación CVSS de 9.2, permitiendo ejecución remota de código no autenticada y divulgación de memoria.
• Método de descubrimiento: Modelos de IA de vanguardia (Gemini 4 Argon, GPT-5.6 Sol) redujeron el tiempo de desarrollo de exploits de meses a semanas.
• Impacto: Se demostró la explotación en WordPress, Drupal y Joomla sin requerir fallos a nivel de aplicación.
• Fecha del parche: Las correcciones oficiales fueron publicadas por el equipo de PHP el 21 de octubre de 2026.
• Colaboración: Coordinado con AWS, Cloudflare, Google, Microsoft y otros para una mitigación generalizada.

Por qué importa

Para ingenieros de software y líderes de infraestructura, este incidente subraya que las bases de código heredadas albergan riesgos sistémicos profundos que las auditorías tradicionales a menudo pasan por alto. El hecho de que estos bugs hayan existido durante diez años sin detección sugiere que muchas otras bibliotecas fundamentales pueden contener vulnerabilidades latentes similares. La dependencia de PHP para la infraestructura web crítica significa que incluso el código de aplicación seguro no puede proteger contra fallos en el entorno de ejecución subyacente. Los equipos deben asumir que sus dependencias son vulnerables hasta que se demuestre lo contrario y priorizar ciclos rápidos de parcheo.

El papel de la IA en este descubrimiento cambia permanentemente el panorama de amenazas. La complejidad ya no es un mecanismo de defensa fiable. Si la IA puede encadenar bugs oscuros de memoria en exploits funcionales en días, los atacantes pronto poseerán la misma capacidad. Esto desplaza la ventaja de quienes ocultan complejidad hacia quienes pueden automatizar la detección y remediación a escala. Las estrategias de seguridad deben evolucionar para incluir escaneo de vulnerabilidades asistido por IA y protección en tiempo de ejecución, ya que la revisión manual de código sola es insuficiente para identificar estos fallos profundos a nivel de motor.

Qué puedes hacer

• Actualiza tu instalación de PHP a la última versión parcheada publicada el 21 de octubre de 2026, inmediatamente.
• Si el parcheo inmediato no es posible, despliega reglas de firewall de aplicaciones web para bloquear solicitudes multipart inusuales y monitorea errores HTTP 500.
• Revisa los logs del servidor buscando signos de explotación, como rotación inesperada de workers de PHP o cookies de sesión malformadas.
• Habilita herramientas de auto-protección de aplicaciones en tiempo de ejecución (RASP) o similares que puedan detectar comportamientos de corrupción de memoria.
• Audita tu cadena de dependencias para identificar todos los servicios que ejecutan versiones de PHP afectadas, incluidos entornos contenedorizados.
• Implementa límites estrictos de memoria y monitoreo para detectar condiciones de falta de memoria que podrían activar estas vulnerabilidades.