Vulnerabilidades PHP y la Paradoja de Seguridad de la Era IA

El parche que llegó tarde

Los desarrolladores de PHP emitieron actualizaciones de emergencia el miércoles para corregir dos vulnerabilidades críticas —CVE-2026-109618 y CVE-2026-109619— que podrían permitir a atacantes ejecutar código arbitrario en sitios web que ejecutan este lenguaje de programación. Empresas de seguridad calificaron estos fallos como entre los más graves jamás descubiertos en cualquier software. El problema no radica solo en su magnitud. Sino en lo que este momento revela sobre la arquitectura oculta de internet y el nuevo ritmo de la amenaza, acelerado por la inteligencia artificial.

Aproximadamente el 70 por ciento de los sitios web del mundo se ejecutan sobre PHP. Ese dominio, construido durante décadas, se ha convertido ahora en un multiplicador de vulnerabilidades. El investigador de seguridad Nicholas Weaver confirmó que ya circulaban exploits en entornos reales, lo que significa que los sistemas que no han sido parcheados están completamente expuestos en este preciso momento. Palo Alto Networks estimó que más de 22,6 millones de instancias de PHP son vulnerables. Otro investigador situó el número en más de 1,3 millones de sitios web. La brecha entre esas estimaciones no es una disputa metodológica —es una disputa sobre qué tan profundamente rota está la infraestructura.

El agujero de memoria

Las vulnerabilidades en sí mismas son técnicamente sencillas, y esa es precisamente parte de por qué son tan peligrosas. PHP maneja las solicitudes HTTP asignando memoria. Cuando una solicitud excede la memoria disponible, PHP falla al liberar adecuadamente su retención sobre ese espacio asignado, dejando el proceso en un estado inestable. Un atacante que pueda manipular los datos que PHP encuentra en esa memoria inválida puede hacer crash el proceso, filtrar información sensible o ejecutar código remoto.

Cloudflare, que opera parte de la infraestructura con mayor tráfico de internet, advirtió que estas fallas proporcionan una ruta directa al sistema de archivos o a la base de datos de un servidor. La NSA emitió una evaluación similar en cuestión de horas. La CISA, junto con sus contrapartes en Reino Unido, Canadá, Australia y la Unión Europea, recomendó que las organizaciones desconectaran los sitios alimentados por PHP hasta que pudieran aplicarse los parches. Finlandia desconectó sus sitios gubernamentales. La Cámara de Representantes de Países Bajos hizo lo mismo. Estas no son reacciones ante una amenaza hipotética.

El problema de la semi-internet

La evaluación de Cisco va al núcleo de por qué esta crisis perdurará mucho más allá de la ventana inicial de parcheo. Aproximadamente la mitad de todas las instancias de PHP expuestas a internet están ejecutando versiones demasiado antiguas como para recibir actualizaciones de seguridad. Se trata de servidores, plataformas CMS y pilas de aplicaciones que han superado sus ciclos de vida soportados —sistemas que no fueron desmantelados porque desmantelar requiere trabajo, coordinación y dinero. Las organizaciones que los ejecutan quizás ni siquiera sepan que existen.

Esta es la arquitectura silenciosa de los inicios de internet, aún zumbando debajo de plataformas más modernas. WordPress, Joomla, Drupal —cada uno puede ejecutarse sobre PHP, y muchas de sus implementaciones simplemente dejaron de actualizarse. El equipo de desarrollo de PHP puede lanzar parches. No puede forzar una migración. No existe un botón de apagón para la infraestructura heredada; solo el lento deterioro por abandono.

Cómo la IA cambió el juego

Las vulnerabilidades fueron descubiertas por Wiz, una firma de seguridad propietaria de Google, y por Calif, una compañía que halló los fallos utilizando el modelo GPT-5.6 Sol de OpenAI. OpenAI describió el descubrimiento como uno de los problemas de seguridad más impactantes en memoria reciente, señalando que las mismas capacidades de IA que pueden desenterrar vulnerabilidades a escala global también pueden acelerar el desarrollo de herramientas ofensivas. Esa tensión es la característica definitoria de este momento.

Nicholas Weaver calificó estas vulnerabilidades de PHP como una de las primeras crisis de vulnerabilidades generalizadas de la era de la IA. Su observación es precisa. Los sistemas de IA son excepcionalmente buenos para traducir un parche en un exploit, porque un parche es esencialmente una receta para el cambio —muestra exactamente qué fue modificado y, por inferencia, cuál era el fallo. El tiempo entre la divulgación y la armamentización, que anteriormente se medía en semanas o meses, ahora se comprime hacia tiempo real. Weaver lo expresó con claridad: “Estamos en un mundo donde tienes que aplicar actualizaciones efectivamente de forma instantánea”.

Jake Knott de WatchTowr reportó que las comunidades de inteligencia de amenazas ya estaban discutiendo las vulnerabilidades e intentando su explotación, aunque aún no se habían confirmado ataques exitosos. La expectativa no era duda —era paciencia.

La respuesta gubernamental

La administración Trump indicó que las agencias federales comenzaron a evaluar su uso de PHP tras conocer las vulnerabilidades el 16 de octubre. La Casa Blanca declaró que estaba coordinándose con agencias federales y laboratorios líderes de IA para acelerar las correcciones y proteger la infraestructura crítica. La NSA instó a sus socios a actualizar inmediatamente. Estas son respuestas institucionales estándar ante una vulnerabilidad seria. Lo que distingue a esta respuesta es la escala de exposición y la velocidad del cronograma de la amenaza.

Cloudflare desplegó reglas de firewall para proteger a sus clientes en cuestión de horas —un recordatorio de que los intermediarios con recursos para actuar con rapidez ahora sirven como primera línea de defensa para millones de operadores más pequeños que no los tienen.

Qué sigue

Las organizaciones que ejecutan versiones recientes de PHP deben parchear ahora. Aquellas que ejecutan versiones sin soporte enfrentan una decisión más difícil: actualizar la plataforma subyacente, migrar completamente fuera de PHP, o aceptar el riesgo hasta que la migración sea posible. Para muchos, esa decisión llegará tarde si el tooling de explotación madura antes de que se actúe.

La lección más profunda concierne a la estrategia de infraestructura. El dominio continuado de PHP —a pesar de ser una tecnología cuyo modelo de seguridad fue diseñado para una web más simple— refleja un patrón más amplio. Internet se ejecuta sobre sistemas cuyo mantenimiento se ha quedado atrás de su despliegue. La IA acelera tanto el descubrimiento de fallos en esa pila envejecida como la velocidad a la que esos fallos se convierten en armas. El resultado es un entorno de seguridad donde el parcheo reactivo ya no es suficiente.

Este evento de vulnerabilidad es una prueba de estrés para una arquitectura que el mundo olvidó que estaba ejecutando. PHP no desaparecerá de la noche a la mañana. Pero la brecha entre su alcance y su mantenimiento ahora se mide en instancias explotadas en lugar de riesgo teórico.