Escrito por: Brant Santana
Correo: brantsantana1@gmail.com
El día que internet contuvo la respiración
El 21 de octubre de 2026, el equipo de seguridad de PHP publicó una actualización de emergencia que nadie esperaba. Dos vulnerabilidades, bautizadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de gravedad de 9.2 sobre 10, permitían a un atacante no autenticado ejecutar código arbitrario en servidores vulnerables .
La reacción fue inmediata. Gobiernos de Europa, Asia y América recomendaron a las organizaciones desconectar sus sitios web hasta aplicar los parches. Hospitales como el Charité de Berlín suspendieron sus páginas temporalmente. El Centro Nacional de Ciberseguridad de Países Bajos (NCSC-NL) apagó su propio sitio como medida preventiva .
¿Qué es PHP y por qué importa tanto?
PHP es el lenguaje de programación que hace funcionar la web invisible. WordPress, Wikipedia, Drupal, Joomla y millones de tiendas online dependen de él. Según datos de W3Techs, aproximadamente el 75% de los sitios web cuya tecnología es identificable utilizan PHP .
Eso significa que un fallo en el núcleo de PHP no es un problema de una empresa, sino de infraestructura crítica global. Un atacante que lograra explotar la vulnerabilidad podría leer datos confidenciales, modificar archivos, tumbar servidores o usar la máquina comprometida como base para nuevos ataques .
El giro inesperado: la IA encontró el fallo
Lo más llamativo del caso es cómo se descubrieron las vulnerabilidades. Investigadores de la firma de ciberseguridad Wiz utilizaron modelos de inteligencia artificial para analizar el código de PHP. El hallazgo fue confirmado de forma independiente por la empresa Calif, que empleó GPT-5.6 Sol de OpenAI para identificar una de las fallas .
Ami Luttwak, cofundador de Wiz, fue tajante: “Es la vulnerabilidad más severa que la IA ha detectado jamás”. Y añadió: “Si no hubiera sido por la IA, habría sido demasiado complejo encontrarla” .
El problema técnico es oscuro pero devastador. PHP gestiona la memoria de las peticiones web usando un mecanismo llamado longjmp() para abortar solicitudes que exceden un límite. Bajo ciertas condiciones, ese mecanismo puede interrumpir el proceso antes de que los datos internos estén completamente inicializados. El siguiente request que llega al mismo proceso puede encontrarse con datos residuales de la petición anterior que aún contienen información controlada por el atacante .
En términos simples: el servidor “olvida” limpiar la memoria y deja una puerta abierta para que alguien más entre.
La carrera contra el reloj
El equipo de PHP había planeado publicar los parches el 22 de octubre. Pero el 20 de octubre, información sobre las vulnerabilidades se filtró en foros y redes sociales. Ante el riesgo de que los atacantes actuaran primero, la actualización se adelantó al día siguiente .
Las versiones corregidas fueron PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para ramas aún más antiguas (7.4, 8.0, 8.1), el equipo publicó parches de código fuente retroportados, aunque esas versiones ya no reciben soporte oficial .
Corea del Sur elevó su nivel de alerta de ciberseguridad a “precaución” y convocó una reunión de emergencia en la Oficina de Seguridad Nacional. El ministro de Ciencia, Bae Kyung-hoon, advirtió que “los códigos de explotación ya están disponibles públicamente” .
La paradoja de la IA
El incidente deja una lección incómoda. La misma inteligencia artificial que permitió encontrar un fallo oculto durante más de una década también podría ser utilizada por atacantes para automatizar la búsqueda y explotación de vulnerabilidades a una velocidad sin precedentes.
El Centro Nacional de Ciberseguridad de Países Bajos lo advirtió: “El uso de inteligencia artificial podría permitir que estas vulnerabilidades sean explotadas aún más rápido. Esto refuerza la urgencia de instalar las actualizaciones” .
Mientras tanto, la recomendación para administradores de sistemas es clara: verificar la versión de PHP, aplicar los parches y, si no es posible, aislar los sistemas de internet hasta que la actualización esté verificada. Actualizar WordPress no es suficiente: el cambio debe hacerse en el entorno del servidor .
La web sigue funcionando. Pero el susto ha dejado claro que la infraestructura que damos por sentada está construida sobre código que, a veces, tiene grietas que ni siquiera sabíamos que existían.
