Las vulnerabilidades en PHP encendieron las alertas de organismos de ciberseguridad de varios países. Los fallos podrían permitir que atacantes ejecuten código malicioso en servidores expuestos, sin necesidad de iniciar sesión.
El caso también expone que la inteligencia artificial puede acelerar tanto el descubrimiento de fallos de seguridad como las herramientas para aprovecharlos. Frente a este escenario, especialistas recomiendan instalar las actualizaciones disponibles y reducir temporalmente la exposición de los sistemas que todavía no puedan corregirse.
Qué vulnerabilidades se detectaron y a quiénes afectan
Los avisos oficiales identifican dos fallos críticos: CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación de gravedad de 9.2 sobre 10. La alerta conjunta de organismos europeos confirmó que pueden permitir la ejecución remota de código sin autenticación.
El riesgo alcanza a servidores que ejecutan PHP para atender solicitudes web. Entre los productos que pueden verse afectados están sitios y plataformas construidos con gestores de contenido como WordPress, Drupal y Joomla, siempre que utilicen versiones vulnerables de PHP.
Si un atacante aprovecha estos fallos, podría ejecutar instrucciones maliciosas en el servidor comprometido y poner en riesgo archivos, información y servicios alojados. Por eso, las autoridades recomiendan priorizar los sistemas conectados a internet.
La inteligencia artificial también intervino en el hallazgo
El caso muestra que la IA no solo representa una herramienta potencial para los atacantes. También puede ayudar a encontrar vulnerabilidades y desarrollar correcciones.
Google Cloud informó que investigadores de Wiz utilizaron distintos modelos de inteligencia artificial para identificar y ayudar a corregir estos fallos. La empresa destacó la contribución de Gemini 4 Argon en el descubrimiento, el desarrollo de pruebas de explotación, la detección de ataques y la validación de los parches.
Sin embargo, detectar un error no equivale automáticamente a que exista un ataque exitoso. La gravedad depende de la posibilidad real de explotarlo, la configuración del servidor y las medidas de protección disponibles.
La preocupación es que estas herramientas pueden acelerar distintas etapas de la carrera entre quienes descubren fallos y quienes buscan aprovecharlos. Por eso, el tiempo que tardan las organizaciones en instalar una corrección resulta fundamental.
Qué deben hacer las organizaciones para proteger sus sistemas
El equipo de PHP publicó las versiones corregidas el 21 de octubre. Las actualizaciones disponibles son:
-
PHP 8.5.12
-
PHP 8.4.27
-
PHP 8.3.36
-
PHP 8.2.35
Las versiones 8.1 y anteriores ya no reciben actualizaciones de seguridad del proyecto PHP, por lo que las organizaciones que todavía las utilizan deben consultar a sus proveedores o migrar a una versión compatible.
Las autoridades recomiendan actualizar de inmediato, revisar las aplicaciones y dependencias que incorporan PHP y comprobar que los parches estén instalados correctamente. Si no es posible corregir el problema de inmediato, aconsejan aislar temporalmente los servicios expuestos a internet.
La alerta deja una lección para empresas, medios de comunicación, hospitales y administradores de sitios web: mantener actualizado el software es una parte esencial de la seguridad digital. La IA puede ayudar a encontrar y corregir errores, pero también obliga a responder con mayor rapidez ante riesgos que afectan a infraestructuras ampliamente utilizadas.
