Dos fallos en PHP exponen al 70% de la web
El miércoles, la Agencia de Seguridad Nacional de Estados Unidos (NSA) lanzó una advertencia inusualmente dura: dos fallos críticos en PHP son tan graves que, si un sitio no puede parchearse de inmediato, debería sacarse de internet hasta poder hacerlo. PHP sostiene aproximadamente el 70% de los sitios web del mundo —más de 33 millones de sitios, según algunas estimaciones— y es la base de sistemas de gestión de contenido como WordPress.
Para un founder, la lectura es directa: si tu producto, tu landing o el panel de tu SaaS corren sobre PHP —o sobre un CMS que lo usa por debajo— tienes una ventana de horas, no de semanas.
Qué se sabe de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619
Las fallas están registradas como CVE-2026-109618 y CVE-2026-109619, y afectan a «todas las instalaciones de PHP que sirven peticiones web» desde la versión 5, lanzada en julio de 2004, según Wired. Ambas recibieron un puntaje de 9.2 sobre 10 en la escala CVSS, el estándar de la industria para medir severidad.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasEl impacto es de los peores posibles: permiten a un atacante no autenticado ejecutar código en el servidor afectado o leer memoria del proceso, que puede contener contraseñas, tokens de autenticación, claves de API y certificados. El equipo de Wiz bautizó la demostración de explotación como php2shell y advirtió que, en algunos casos, las fallas se explotan «con relativa facilidad».
La PHP Foundation publicó los parches el miércoles, pero solo para las versiones soportadas: PHP 8.2 y posteriores. Quienes corren PHP 8.1 o anterior deben migrar a una versión vigente. La recomendación de la fuente original apunta a PHP 8.5.12.
Cómo la IA encontró fallos que llevaban dos décadas escondidos
La parte más incómoda de esta historia es que los agujeros no los encontró un humano con paciencia infinita. Los encontró la IA.
Calif, una empresa de testing de seguridad, participaba de la iniciativa «Patch the Planet» de OpenAI para buscar fallas en software de código abierto. Usando GPT-5.6 Sol, encontró una de las vulnerabilidades. En paralelo, el equipo de Wiz —propiedad de Google— usó su agente de seguridad Wiz Atlas, junto con Gemini 4 Argon y GPT-5.6 Sol, para hallar múltiples vulnerabilidades en PHP.
Ambos equipos siguieron prácticas responsables: trabajaron con la PHP Foundation en los parches antes de divulgarlos públicamente y coordinaron las pruebas con terceros. Wiz agradeció a Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel por su colaboración.
Según BBC, Wiz calificó estas como las «vulnerabilidades más severas jamás descubiertas» por IA, y señaló que habían pasado más de una década sin ser detectadas. Wired recoge una advertencia de Wiz que resume el nuevo paradigma: antes de la IA, estas fallas eran demasiado difíciles de explotar para un atacante promedio. «Con la IA, eso ya no es una barrera. Los LLM pueden ayudar a adaptar un exploit a distintas versiones, configuraciones y layouts de memoria de PHP».
El doble filo: la IA encontró el problema y también lo volvió urgente
Este es el punto que todo founder debería subrayar en su próxima reunión de equipo. La misma tecnología que permitió descubrir y parchear dos fallos históricos es la que reduce drásticamente el tiempo que un atacante necesita para aprovecharlos.
La firma de seguridad Sansec advirtió, antes de que se publicaran los parches, que esperaba «ataques masivos en los 15 minutos posteriores al lanzamiento», según Wired. Y no fue teoría: Cloudflare reportó que estaba viendo «ataques tempranos» incluso antes de que la PHP Foundation detallara las vulnerabilidades. El CTO de Cloudflare, Dane Knecht, confirmó esos ataques tempranos, según Mashable.
El resultado fue una reacción en cadena de gobiernos y organizaciones. Finlandia apagó temporalmente sus servicios web públicos; la agencia de ciberseguridad de Países Bajos sacó su propio sitio de internet y el sitio de la cámara baja del parlamento neerlandés quedó inaccesible, según BBC. Wired reporta, citando a Reuters, que sitios del gobierno francés y el puerto de Róterdam también salieron de línea. La Fundación Wikimedia confirmó a Mashable que la caída de Wikipedia estuvo vinculada a estas vulnerabilidades y que bajó varios sistemas como medida preventiva.
La Casa Blanca dijo que las agencias federales trabajaban con los principales laboratorios de IA para acelerar la solución, según BBC.
¿Qué significa esto para tu startup?
Si tu startup tiene un sitio, un blog, un e-commerce o un panel de administración, es muy probable que haya PHP en algún punto de la cadena. El problema no es solo parchear: es encontrar todos los lugares donde PHP está corriendo, algo que muchas veces ni siquiera es evidente para el equipo que opera el producto.
Don Smith, del Sophos Counter Threat Unit, lo explicó a BBC: el desafío inmediato no es instalar el parche, sino localizar cada instancia de PHP. «El uso de PHP es omnipresente, puede estar debajo de sitios públicos, CMS, plataformas de hosting y productos de terceros, a veces sin ser obvio para la organización que lo usa».
Acciones concretas que puedes ejecutar hoy
- Inventaría antes de parchear. Haz una lista de todos los sistemas que corren PHP, empezando por los que están expuestos a internet. Revisa también appliances y servicios de terceros que puedan traer PHP embebido.
- Actualiza a una versión soportada. El objetivo es PHP 8.2 o superior; la fuente original apunta a 8.5.12. Si sigues en PHP 8.1 o anterior, no hay parche: hay migración.
- Si no puedes parchear ya, apaga. La guía de la NSA y del NCSC británico es explícita: sacar el sistema de línea hasta poder mitigarlo es mejor que dejarlo expuesto.
- Habla con tu hosting. Si un proveedor gestiona tu infraestructura, confirma por escrito que aplicó el parche. No lo asumas.
- Activa las reglas de firewall de emergencia. Cloudflare habilitó reglas diseñadas para bloquear peticiones sospechosas asociadas a estas fallas, disponibles para todos sus clientes, incluidos los planes gratuitos, según Mashable. Es una mitigación de minutos, no un reemplazo del parche.
- Preserva logs y monitorea. Si detectas señales de compromiso, aísla el sistema, guarda los logs del servidor web y de PHP, y repórtalo. El FBI pidió exactamente eso a través de su director adjunto de cibernética, Brett Leatherman.
El riesgo de la deuda técnica silenciosa
Hay un detalle que vale la pena mirar con calma: la PHP Foundation solo parchea las versiones que aún soporta. Eso significa que los proyectos que arrastran versiones antiguas por comodidad —un plugin heredado, un panel interno que nadie toca, un sitio de marketing que se montó hace ocho años— quedan fuera de la cobertura automática.
Es el tipo de deuda técnica que no aparece en un dashboard hasta que aparece en las noticias. Y en este caso, apareció con una advertencia de la NSA de por medio.
Conclusión
Este episodio deja dos lecciones que van más allá de PHP. La primera: la IA está cambiando la economía del descubrimiento de vulnerabilidades. Lo que antes requería meses de investigación especializada ahora se logra en horas, y eso es una buena noticia para quien defiende y una mala para quien ataca. La segunda: la velocidad de reacción se volvió el activo de seguridad más valioso. Con reportes de ataques en los primeros minutos tras la divulgación, la diferencia entre una startup que parchea en una hora y otra que lo hace en una semana ya no es operativa, es existencial.
Si tu equipo todavía no tiene un inventario de dependencias ni un plan de respuesta a incidentes, hoy es un buen día para empezar. No hace falta un equipo de seguridad dedicado: hace falta saber qué corre en tu infraestructura y quién responde cuando algo se rompe.
Fuentes
- TechCrunch: PHP armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
- Wired: ‘This Is Not a Drill’: Critical PHP Vulnerabilities Are Setting the Internet on Fire
- BBC: Websites taken down worldwide as critical cyber-security update issued
- Mashable: PHP vulnerability: PHP security issues today explained
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
