Un fallo crítico en PHP hallado con IA obliga a parchear medio internet

Dos vulnerabilidades críticas en PHP, el lenguaje de programación que funciona en cerca del 69 % de los sitios web con tecnología de servidor identificable, desataron este miércoles una carrera mundial para actualizar sistemas, después de que se publicaran las correcciones hacia las 9:00 a. m., hora de Colombia.

Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619, están en la forma en que PHP maneja ciertos errores de memoria durante las peticiones. Un atacante puede aprovecharlos con una solicitud manipulada para ejecutar código a distancia en el servidor sin haber iniciado sesión, y la única protección completa es instalar las versiones corregidas de las ramas 8.2, 8.3, 8.4 y 8.5.

Las vulnerabilidades se encontraron con ayuda de modelos de inteligencia artificial, dentro del programa de ciberseguridad con el que OpenAI da acceso a sus sistemas a investigadores, y se notificaron a los responsables de PHP antes de que circularan de forma masiva.

Mientras se aplicaban los parches, Países Bajos, Finlandia, Dinamarca y Francia desconectaron de forma temporal webs y servicios públicos, entre ellos el portal del Gobierno neerlandés y el de la autoridad francesa de protección de datos. También quedaron fuera de línea sitios como Pinboard, 4chan y partes de Wikipedia, y en Japón se vieron afectados sistemas de guarderías y de videojuegos.

Las agencias de ciberseguridad de Estados Unidos, el Reino Unido y la Unión Europea emitieron alertas para que las organizaciones actualicen cuanto antes. La urgencia crece porque ya se detectó tráfico de ataque dirigido a servidores expuestos, con atacantes que modifican sus cargas para esquivar las defensas, aunque la agencia estadounidense de ciberseguridad no había confirmado explotaciones exitosas.