Durante una década, una parte clave de internet conviví con errores que no se habían convertido en ataques prácticos. Aunque ya había indicios, la complejidad para convertir esas fallas en un ataque real mantuvo el asunto fuera del alcance de la mayoría de las tecnológias disponibles. Eso cambió gracias a la inteligencia artificial, cuyas herramientas para revisar código, probar combinaciones y repetir tareas de forma automatizada permitieron acelerar un trabajo que antes demandaba meses de especialistas en seguridad.
PHP sostiene millones de páginas y aplicaciones en todo el mundo desde hace décadas. Es un lenguaje de programación central para crear y ejecutar sitios y herramientas web, y su importancia radica en la cantidad de plataformas que dependen de él, entre ellas WordPress, Drupal, Joomla y MediaWiki, la tecnología detrás de Wikipedia. Según Wiz, aproximadamente el 70% de las páginas web usan PHP de alguna manera.
Los investigadores detectaron dos vulnerabilidades críticas dentro del propio motor de PHP. Los fallos podían permitir a un atacante ejecutar código de forma remota, acceder a información almacenada en memoria, obtener contraseñas o tokens, comprometer servidores e interrumpir servicios. El problema no estaba ligado a WordPress, Drupal u otra aplicación específica: la vulnerabilidad residía en PHP, de modo que incluso programas simples podían quedar expuestos si operaban con una versión afectada. Su origen está vinculado a la forma en que PHP maneja ciertos errores graves, especialmente cuando un servidor queda sin memoria.
En determinadas condiciones, podrían quedar datos internos sin limpiar adecuadamente. Un atacante que lograra manipular ese comportamiento podría aprovechar la información residual para obtener datos sensibles o ejecutar comandos. Las fallas quedaron identificadas como CVE-2026-109618 y CVE-2026-109619.
El hallazgo obligó a desarrolladores y operadores a acelerar las actualizaciones de seguridad. La respuesta fue coordinada entre investigadores, los mantenedores de PHP y empresas de infraestructura digital. Calif detectó una de las vulnerabilidades con ayuda de GPT-5.6 Sol, dentro de la iniciativa Patch the Planet de OpenAI. Wiz identificó problemas relacionados y colaboró en la validación de ataques y soluciones.
Las pruebas demostraron que era posible lograr ejecución remota de código sin autenticación en instalaciones que usan WordPress, Drupal y Joomla. El proceso se mantuvo en reserva mientras se preparaban las correcciones, hasta que PHP publicó el parche el 21 de octubre de 2026 y recomendó actualizar de inmediato a las versiones seguras disponibles. La advertencia alcanzó a instalaciones que reciben solicitudes web a través de PHP-FPM, Apache, php-cgi y otras configuraciones. El desafío ahora está en los sistemas que aún operan con versiones antiguas. Actualizar una aplicación completa puede requerir tiempo, pruebas y coordinación con proveedores de hosting, pero la recomendación es clara: migrar a las versiones corregidas para mitigar el riesgo.
