Una década de sombra: la IA revela vulnerabilidades imperceptibles en el núcleo de internet

Durante una década, un componente crítico de la red mundial coexistió con fallos que permanecieron ocultos. A pesar de que había señales tempranas, transformar esas vulnerabilidades en un ataque concreto resultaba tan intrincado que permanecieron fuera del alcance operativo de la tecnología.

Ese panorama se modificó con la inteligencia artificial, puesto que sus instrumentos, aptos para inspeccionar código, probar variantes y ejecutar ciclos de forma automática, permitieron acelerar una labor que anteriormente podía requerir meses de trabajo por parte de expertos en seguridad.

PHP ha sustentado durante décadas a millones de sitios y aplicaciones a nivel global.

Naturaleza de PHP y el impacto de su vulnerabilidad en innumerables sitios web globales

PHP constituye un lenguaje de programación empleado para crear y ejecutar sitios y aplicaciones web. Su relevancia se debe a la vasta cantidad de plataformas que lo utilizan, entre ellas WordPress, Drupal, Joomla y MediaWiki, la infraestructura que sustenta a Wikipedia.

De acuerdo con Wiz, aproximadamente el 70 % de los sitios web emplean PHP de alguna forma. Los analistas identificaron dos fallas críticas en el propio núcleo del lenguaje, las cuales podían facultar a un agresor para:

ejecutar código a distancia

acceder a datos residuales en la memoria

robar contraseñas o tokens

comprometer servidores

interrumpir servicios

El inconveniente no radicaba en una debilidad de WordPress, Drupal u otra aplicación. La brecha residía en PHP, de modo que incluso aplicaciones modestamente estructuradas podían resultar vulnerables si operaban con una versión comprometida. La causa se originó en la manera en que PHP gestionaba errores críticos, particularmente cuando el servidor agotaba la memoria.

En ciertos escenarios, datos internos podían permanecer sin depurar adecuadamente; así, un agresor que manipulase ese proceso podía explotar la información residual para obtener datos o ejecutar comandos. Estas vulnerabilidades fueron catalogadas bajo los identificadores CVE‑2026‑109618 y CVE‑2026‑109619.

El descubrimiento forzó a desarrolladores y organizaciones a apresurar la implementación de actualizaciones de seguridad.

La carrera contra el tiempo entre gobiernos y desarrolladores tras la detección de las fallas

El hallazgo desencadenó una respuesta conjunta entre investigadores, mantenedores de PHP y proveedores de infraestructura digital. Calif identificó una de las vulnerabilidades mediante GPT‑5.6 Sol en el marco de la iniciativa Patch the Planet de OpenAI. Wiz detectó vulnerabilidades vinculadas y colaboró en la verificación de los vectores de ataque y las contramedidas.

Los ensayos confirmaron que se podía lograr la ejecución remota de código sin autenticación en entornos de WordPress, Drupal y Joomla. La investigación permaneció confidencial mientras se desarrollaban los arreglos, hasta que PHP lanzó el parche el 21 de octubre de 2026, instando a actualizar sin demora a versiones seguras tales como:

PHP 8.5.12

PHP 8.4.27

PHP 8.3.36

PHP 8.2.35

La recomendación se aplica a entornos que atienden peticiones web mediante PHP‑FPM, Apache, php‑cgi y configuraciones afines. El reto actual radica en los sistemas que continúan operando con versiones desfasadas.

Modernizar una aplicación integral puede demandar tiempo, pruebas y ajustes adicionales, sobre todo en organizaciones que dependen desde hace años de desarroll

Fuente: Ambito.com