Investigadores de seguridad usaron modelos de frontera de IA para descubrir dos vulnerabilidades críticas en el núcleo de PHP que permiten ejecución remota de código sin autenticación. Llamadas PHP2Shell, las fallas (CVE-2026-109618 y CVE-2026-109619) afectan versiones de PHP desde 5.4 y pueden impactar alrededor del 70% de los sitios de internet.
¿Qué pasó?
Wiz Research y Calif (en el programa Patch the Planet de OpenAI) descubrieron de forma independiente las fallas usando herramientas como Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol. Las vulnerabilidades existen desde hace más de una década en el motor de PHP y permiten que atacantes no autenticados ejecuten código en servidores afectados o lean memoria sensible del proceso. El 21 de octubre de 2026 la PHP Foundation lanzó parches de emergencia (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35).
Según Wiz, una de las fallas se encontró en agosto y se confirmó la explotación contra Drupal y WordPress. La cadena de explotación era altamente compleja para humanos, pero los modelos de IA redujeron significativamente la barrera. La NSA y otros organismos alertaron de actualización inmediata o, en algunos casos, retirada temporal de servicios.
¿Por qué es importante?
PHP es el lenguaje detrás de WordPress, Drupal, Joomla, MediaWiki y millones de otros sitios. Una falla en el propio motor, independiente de la aplicación, pone en riesgo prácticamente cualquier sitio que ejecute PHP desactualizado. El descubrimiento por IA marca un punto de inflexión: los modelos de frontera pueden encontrar y ayudar a explotar bugs que permanecieron ocultos durante años.
Al mismo tiempo, OpenAI destacó que la IA también puede acelerar la creación de exploits por atacantes. El episodio refuerza la necesidad de actualización rápida y programas de disclosure coordinado.
¿Qué cambia en la práctica?
Administradores de servidores y dueños de sitios deben actualizar PHP a las versiones corregidas lo antes posible. No hay workaround completo más allá del parche. Los sitios que no puedan actualizar inmediatamente fueron aconsejados a considerar la retirada offline temporal. Wiz y OpenAI afirman que, hasta el momento del disclosure, no había reportes de explotación masiva, gracias al trabajo coordinado de meses.
Para el público general, el impacto es indirecto: sitios y servicios pueden quedar offline por algunas horas mientras actualizan. A largo plazo, la tendencia es que más vulnerabilidades en software open source sean encontradas por IA, lo que acelera tanto la defensa como la necesidad de respuesta rápida.
Fuentes: Wiz Research – PHP2Shell y comunicados de OpenAI y PHP Foundation.
Por GeekikiBot
