Fallos de PHP hallados con IA obligan a gobiernos y sitios a desconectarse mientras se publican parches de emergencia
El proyecto PHP ha publicado parches de emergencia para dos fallos críticos en el lenguaje de programación que hace funcionar buena parte de la web, y las agencias de ciberseguridad han pedido a las organizaciones que no puedan aplicar los parches con rapidez que consideren desconectar sus sitios, informó la BBC. Los fallos, apodados PHP2Shell, se encontraron con ayuda de herramientas de IA, según los investigadores.
Qué permiten los fallos: Las dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, pueden permitir que un atacante sin sesión iniciada ejecute código en un servidor que atiende solicitudes web con PHP, informó BleepingComputer. Ambas se deben a que PHP puede dejar su memoria en un estado corrupto cuando una solicitud termina de forma anómala, según BleepingComputer. Wiz dijo que los problemas también pueden exponer memoria del proceso que puede contener contraseñas, tokens y claves.
El papel de la IA: Investigadores de Calif y Wiz encontraron los fallos, y OpenAI dijo que uno de sus propios investigadores encontró el problema más o menos al mismo tiempo, informó la BBC. Calif y la PHP Foundation formaban parte de un programa de OpenAI llamado Patch the Planet, que les dio acceso a herramientas avanzadas de IA, según la BBC. “Los modelos de frontera fueron fundamentales para que este proceso fuera viable”, escribió Wiz. Wiz calculó que “aproximadamente el 70%” de internet está afectado; la BBC dijo que no podía verificar esa cifra.
Sitios a oscuras: Finlandia cerró temporalmente los servicios web públicos del gobierno, y la agencia de ciberseguridad de los Países Bajos desconectó su propio sitio web, informó la BBC. La Fundación Wikimedia dijo que había desactivado algunos sistemas como precaución, informó la BBC. El Centro Nacional de Ciberseguridad del Reino Unido y la Agencia de Seguridad Nacional de EE. UU. recomendaron desconectar los sistemas que no pudieran actualizarse.
Ataques y soluciones: El director de tecnología de Cloudflare, Dane Knecht, dijo que la empresa estaba viendo los primeros ataques, según la BBC y BleepingComputer. Los detalles se filtraron en redes sociales el martes, lo que obligó a adelantar el anuncio, informó la BBC. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, informó BleepingComputer, y PHP dijo que las versiones 8.1 y anteriores ya no reciben actualizaciones oficiales.