Wiz, de Google: la IA acelera las vulnerabilidades de PHP

PHP2Shell: dos fallos críticos y una carrera contra el reloj

Dos vulnerabilidades críticas en PHP, el lenguaje que sostiene cerca del 70% de los sitios web, forzaron a gobiernos y empresas de todo el mundo a sacar sistemas de línea mientras aplicaban parches de emergencia. En el episodio más reciente del podcast Equity de TechCrunch, Tomer Schwartz, CTO de Exposure Management y AppSec en Wiz —la firma de ciberseguridad propiedad de Google—, cuenta cómo se vivió esa carrera desde adentro y por qué el parcheo manual dejó de ser una estrategia viable.

Los fallos, bautizados PHP2Shell y registrados como CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación de 9.2 sobre 10 en el sistema CVSS, según la alerta de la PHP Foundation recogida por Wired. Los parches de emergencia llegaron el miércoles 21 de octubre en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, reporta Help Net Security.

El alcance es enorme: afecta a toda instalación de PHP que sirva peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Wired recuerda que el problema se remonta a versiones antiguas —la PHP Foundation habla de instalaciones desde PHP 5, lanzada en julio de 2004—, aunque solo PHP 8.2 y posteriores siguen recibiendo soporte oficial.

¿Por qué la IA cambió la ecuación de la ciberseguridad?

Aquí está el punto que debería preocupar a cualquier equipo técnico. Según Wiz, los fallos existían desde hace décadas, pero demostrar que eran explotables exigía "una cadena de pasos excepcionalmente compleja, al límite de lo que un investigador humano podía lograr en la práctica". Los modelos de IA de frontera redujeron esa barrera y convirtieron un defecto histórico en un exploit funcional.

Wiz encontró las vulnerabilidades usando parcialmente herramientas de IA, mientras que OpenAI y la firma de seguridad Calif afirman haberlas descubierto de forma independiente y haber colaborado después, según Wired. La combinación de modelos de IA y un investigador humano ya había detectado el problema a mediados de agosto, de acuerdo con 9to5Mac.

El resultado es una vulnerabilidad que puede permitir a un atacante no autenticado ejecutar código en el servidor o leer memoria de proceso que puede contener contraseñas, tokens de autenticación, claves de API y certificados de otras peticiones.

El vulnpocalypse: más hallazgos de los que puedes parchear

El término que usa TechCrunch —"vulnpocalypse"— describe exactamente eso: una avalancha de vulnerabilidades descubiertas a un ritmo que los equipos humanos no pueden seguir.

La PHP Foundation fue tajante en su aviso: "no hay mitigaciones completas, actualizar es la única opción segura". La firma de seguridad Sansec advirtió antes del lanzamiento de los parches que esperaba "ataques masivos en los 15 minutos posteriores". Amazon Threat Intelligence registró un intento de explotación el 17 de octubre, cuatro días antes de la divulgación pública, según Help Net Security. Y AWS señaló que las vulnerabilidades están siendo "ampliamente explotadas", reporta 9to5Mac.

El investigador Kevin Beaumont lo resumió así: "la situación de PHP va a generar una masa de incidentes; es una de las vulnerabilidades más grandes en años". El experto en forense Hal Pomeranz añadió otra capa: "hay muchísimas instalaciones embebidas que nunca se parchearán. Demasiadas apps olvidadas y sin mantenimiento. Esto va a tener una cola larga".

El impacto ya se vio en el mundo real: sitios del gobierno finlandés, webs del gobierno francés y la página del Puerto de Rotterdam quedaron fuera de línea, según reportó Reuters y recoge Wired.

Por qué el parcheo manual ya no escala

La propia Wiz ya había demostrado en junio hasta dónde llega la automatización. Su agente Red Agent, una herramienta autónoma de investigación de seguridad impulsada por IA, encontró una vulnerabilidad de inyección en un repositorio público de Snowflake en GitHub que el escáner GitHub Advanced Security no detectó, según Infosecurity Magazine. El agente pasó del hallazgo a la explotación y a evaluar el alcance del impacto sin intervención humana.

Eso plantea una pregunta incómoda para cualquier CISO o founder técnico: si la IA genera más hallazgos de los que un equipo puede procesar, ¿cómo se decide qué atender primero? Gary Perkins, CISO de CISO Global, propone darle la vuelta al problema: usar la IA "para priorizar en lugar de simplemente generar más hallazgos. Si un sistema de IA te dice que tienes 10.000 vulnerabilidades pero solo 12 representan una ruta realista de compromiso de tus activos críticos, eso es mucho más útil", dijo a TechTarget.

Y hay un matiz que evita el pánico: Jeremiah Grossman, CEO de Root Evidence, recuerda en el mismo medio que los atacantes explotan "menos del 1,5% de todas las CVE conocidas". Encontrar más fallos no equivale a que todos vayan a ser atacados.

¿Qué significa esto para tu startup?

Para un equipo pequeño, la lección no es contratar un ejército de seguridad, sino priorizar y automatizar. Acciones concretas que puedes ejecutar esta semana:

• Haz inventario real de tu stack PHP. No solo tu aplicación principal: revisa CMS, plugins, paneles internos, herramientas de marketing y cualquier servicio embebido. La mayoría de los incidentes viven en lo que nadie recuerda que existe.
• Actualiza o apaga. Si no puedes parchear de inmediato, la recomendación del NCSC británico y de la NSA es sacar el sistema de línea hasta poder mitigarlo. Un servicio caído unas horas es mejor que una filtración de credenciales.
• Usa el WAF como puente, no como destino. Cloudflare desplegó reglas de firewall para los vectores conocidos, disponibles para todos los clientes, incluidos los del plan gratuito, según su CTO Dane Knecht. Sirve para ganar tiempo, no para reemplazar el parche.
• Rota secretos después de parchear. Como el fallo puede exponer memoria con tokens y claves de API de otras peticiones, actualizar el software sin rotar credenciales deja la puerta abierta.
• Prioriza con IA, no acumules reportes. Aplica el criterio de Perkins: que la herramienta te diga cuáles de los cientos de hallazgos tocan tus activos críticos.

Cómo construir seguridad desde el día uno

Schwartz habló en el podcast sobre cómo las startups en etapa temprana pueden construir pensando en seguridad. La recomendación estructural viene de Claude Mandy, chief evangelist de Zscaler: antes de dar autonomía a agentes de IA, los equipos necesitan entornos contenidos y reconstruibles. "La mayoría de las organizaciones parte de una base baja, sin un entorno de producción aislado que pueda reconstruirse fácilmente si se compromete", advirtió en TechTarget.

Traducido a una startup: infraestructura como código, contenedores efímeros, secretos gestionados en un vault y la capacidad de reconstruir tu entorno desde cero en minutos. Eso convierte un incidente grave en un mal día en lugar de un evento existencial.

Conclusión

PHP2Shell no es solo una historia sobre dos bugs. Es una señal clara de un cambio estructural: la IA está comprimiendo el tiempo entre que un fallo se descubre y se explota, y los equipos que dependen de procesos manuales van a quedar atrás. Para un founder, la respuesta no es contratar más gente, sino diseñar sistemas que puedan actualizarse, aislarse y reconstruirse rápido. La próxima vulnerabilidad crítica no va a avisar con meses de anticipación.

Fuentes

• TechCrunch: Wiz's CTO on PHP2Shell and the coming 'vulnpocalypse' (fuente original)
• TechCrunch: PHP-ocalypse: How two critical web bugs almost broke the internet
• Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now!
• Wired: 'This Is Not a Drill': Critical PHP Vulnerabilities Are Setting the Internet on Fire
• 9to5Mac: What's going on with the web? The PHP issue and sites going offline
• TechTarget: Autonomous AI exploits raise stakes for vulnerability management
• Infosecurity Magazine: Wiz AI Agent Finds Critical Snowflake GitHub Repo Flaw