La IA descubre fallos críticos en PHP y desata un debate sobre la divulgación

El 21 de octubre de 2026, el proyecto PHP publicó correcciones de emergencia para dos fallos de seguridad críticos, lo que llevó a muchos operadores de sitios web a sacar sus servicios fuera de línea. El incidente, bautizado como PHP2Shell, involucró las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, que permiten la ejecución remota de código. Si bien las soluciones técnicas eran urgentes, el evento encendió una controversia significativa sobre la divulgación coordinada de vulnerabilidades en una era donde la IA acelera el desarrollo de exploits.

Qué ocurrió

Las vulnerabilidades afectan a versiones de PHP que impulsan aproximadamente el 70% de los sitios web. La Fundación PHP emitió versiones corregidas para las ramas 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los usuarios en ramas antiguas y sin soporte deben actualizar o depender de los backports de sus distribuidores. WordPress aconsejó a los propietarios de sitios que actualicen sus instalaciones de PHP, aclarando que los fallos residen en el lenguaje mismo y no en la aplicación WordPress.

El proceso de descubrimiento resaltó el creciente papel de la inteligencia artificial en la investigación de seguridad. La firma de seguridad Calif, participante en la iniciativa Patch the Planet de OpenAI, utilizó GPT-5.6 Sol para identificar una ruta hacia la ejecución remota de código, reportándola el 11 de agosto. OpenAI informó independientemente del mismo problema ese día, seguido por Wiz el 24 de agosto. Aunque los mantenedores de PHP habían notado señales de un problema subyacente de memoria insuficiente durante una auditoría en 2024, carecían de una ruta concreta de explotación hasta que estos informes asistidos por IA clarificaron la gravedad.

Una disputa estalló cuando Chainguard, una empresa de seguridad de cadenas de suministro de software, lanzó imágenes de contenedor parcheadas más de seis horas antes de la hora de divulgación coordinada. Dan Lorenc, CEO de Chainguard, declaró que rompió el embargo debido a informes de explotación activa en entornos reales y filtraciones de detalles. La Fundación PHP criticó este movimiento unilateral, argumentando que dio a los atacantes tiempo para estudiar la corrección mientras otros usuarios permanecían vulnerables. Lorenc se disculpó por el estrés causado, pero sostuvo que proteger a los usuarios era la prioridad.

Cómo funciona

El problema técnico central implica una condición de memoria insuficiente que puede ser manipulada para lograr la ejecución remota de código. Este tipo de vulnerabilidad permite a un atacante ejecutar comandos arbitrarios en un servidor que aloja una aplicación PHP. El fallo es particularmente peligroso debido a la ubicuidad de PHP; como señaló Moshe Siman Tov Bustan de OX Security, cualquier instancia de PHP accesible públicamente está potencialmente expuesta.

La controversia gira en torno a la mecánica de la divulgación coordinada. Normalmente, los proveedores acuerdan un período de embargo para preparar parches simultáneamente. Sin embargo, los modelos de IA ahora son capaces de encontrar y verificar exploits rápidamente. El entorno de pruebas de Chainguard, utilizando un modelo de IA de vanguardia, redescubrió independientemente el problema. Cuando Lorenc recibió informes de posibles exploits en vivo y vio videos de prueba de concepto filtrándose en línea, decidió que el riesgo de esperar superaba el beneficio de la coordinación. Publicó las correcciones al público para asegurar el acceso inmediato, saltándose el protocolo estándar de embargo.

Detalles clave

• Las vulnerabilidades están identificadas como CVE-2026-109618 y CVE-2026-109619.
• Las versiones corregidas de PHP son 8.2.35, 8.3.36, 8.4.27 y 8.5.12.
• Chainguard lanzó imágenes parcheadas anticipadamente, citando evidencia de explotación activa.
• La Fundación PHP etiquetó el retraso en corregir el problema identificado en 2024 como un "fallo estructural".
• Amazon Threat Intelligence detectó intentos de exploit contra honeypots comenzando el 17 de octubre.
• Modelos de IA como GPT-5.6 Sol jugaron un papel clave en el descubrimiento y verificación de los fallos.

Por qué importa

Para ingenieros de software y líderes de TI, este incidente subraya que las ventanas de mantenimiento tradicionales pueden ya no ser suficientes para infraestructuras críticas. La velocidad con la que la IA puede descubrir y armar vulnerabilidades significa que la ventana entre el descubrimiento y la explotación se está reduciendo. Las organizaciones deben estar preparadas para desplegar parches inmediatamente, incluso fuera de los horarios normales, para mitigar riesgos derivados de dependencias ampliamente utilizadas como PHP.

La disputa también destaca la fragilidad de los actuales modelos de seguridad de código abierto. La Fundación PHP admitió que las restricciones de recursos y los complejos compromisos retrasaron la corrección de un problema conocido. A medida que la IA reduce la barrera para encontrar bugs, la carga sobre los mantenedores aumenta. Sin financiación adicional y apoyo de las empresas y gobiernos que dependen de este software, es probable que ocurran fallos estructurales similares, dejando al ecosistema web vulnerable a amenazas a escala de internet.

Qué puedes hacer

• Actualiza tu instalación de PHP a la versión 8.2.35, 8.3.36, 8.4.27 o 8.5.12 inmediatamente.
• Si usas una rama de PHP sin soporte, planifica una actualización o aplica los backports de tu distribuidor.
• Revisa los registros del servidor buscando actividad sospechosa desde el 17 de octubre de 2026.
• Asume un compromiso (breach) si encuentras evidencia de explotación en sistemas sin parchear.
• Colabora con proveedores de confianza como Red Hat o Canonical para obtener parches validados.
• Aboga por el apoyo organizacional a proyectos críticos de código abierto de los que dependes.