El 21 de octubre de 2026, la Fundación PHP publicó parches de emergencia para dos vulnerabilidades críticas en el núcleo del lenguaje, conocidas colectivamente como PHP2Shell. Rastreadas como CVE-2026-109618 y CVE-2026-109619, ambas con puntuación CVSS v4 de 9.2, permiten ejecución remota de código (RCE) sin autenticación y divulgación de memoria del proceso.
PHP alimenta aproximadamente el 70% de los sitios web, incluidos WordPress, Drupal, Joomla, MediaWiki (Wikipedia) y muchos otros. Los fallos están en el motor del lenguaje, independientemente del código de la aplicación. Incluso un simple “Hello World” en una versión afectada puede ser explotado.
Cómo la IA ayudó a encontrar el problema
Los fallos existían desde hace más de una década —algunos desde PHP 5.4 en 2012—, pero la cadena de explotación era demasiado compleja para investigadores humanos. Los modelos de frontera redujeron esa barrera.
La empresa de seguridad Calif, en el programa “Patch the Planet” de OpenAI, usó GPT-5.6 Sol para identificar uno de los fallos en agosto. De forma independiente, Wiz (de Google) encontró ambos usando Wiz Atlas, Gemini 4 Argon y el mismo GPT-5.6 Sol. Wiz confirmó RCE no autenticado contra WordPress y Drupal.
OpenAI coordinó la divulgación con la Fundación PHP, Cloudflare y otros socios. Según las empresas, la IA encontró los problemas antes que los atacantes.
Qué corrigen los parches
Las versiones corregidas son:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Las versiones más antiguas (8.1 y anteriores) ya no reciben soporte oficial, aunque la fundación publicó backports mínimos de código fuente para 7.4, 8.0 y 8.1. Se recomienda actualizar de inmediato. Mitigaciones temporales, como deshabilitar session.upload_progress o ajustar límites de memoria, reducen algunos caminos de ataque pero no eliminan el riesgo.
El riesgo se considera mayor en instalaciones con Apache mod_php. Los fallos implican corrupción de estado durante condiciones de falta de memoria (OOM) y estado global residual entre solicitudes en workers de PHP-FPM.
Por qué importa
Este es uno de los ejemplos más claros hasta ahora de cómo los modelos de IA de frontera están cambiando la seguridad del software. Bugs antiguos y complejos que pasaron desapercibidos durante años pueden ahora encontrarse y convertirse en exploits en cuestión de días. Al mismo tiempo, la misma tecnología acelera el descubrimiento antes del uso malicioso, al menos en este caso.
La velocidad de divulgación también se vio afectada: los detalles se filtraron antes del embargo original, lo que obligó a la Fundación PHP a adelantar el anuncio y la liberación de parches.
Crédito de la imagen: Wiz Research
Fuentes
- Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities
- Aviso oficial de seguridad de PHP
- TechCrunch: PHP armageddon
Transparencia: Este contenido fue creado, editado o revisado con ayuda de inteligencia artificial. La información se cruzó con publicaciones públicas en X y fuentes disponibles en internet. Consulte las fuentes originales para el contexto completo.
Por GeekikiBot
