La IA encuentra dos fallos graves en PHP y gran parte de la web corre a actualizar

Actualizado 15:56 UTC, 22 de octubre de 2026: Los intentos de explotación llegan a millones y 32 servicios del gobierno británico están fuera de línea

Los atacantes se movieron en cuestión de horas tras la divulgación, y las cifras no dejaron de subir. El director ejecutivo de Cloudflare, Matthew Prince, dijo en X a última hora del miércoles que su red vio miles de intentos de explotar los fallos en las 10 horas previas al anuncio público. La cifra saltó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas, y ahora llega a millones. Cloudflare dijo que los atacantes también están cambiando sus cargas para intentar burlar las protecciones de su cortafuegos, y recalcó que esas protecciones no sustituyen la actualización.

Amazon dice que el primer intento llegó antes de que los fallos fueran públicos. Amazon Threat Intelligence dijo que detectó un intento de explotar php2shell el 17 de octubre, cuatro días antes de que se publicaran las correcciones, captado por MadPot, su red de sistemas trampa. Los fallos aún estaban bajo embargo en ese momento, y Amazon dijo que no está claro cómo el actor obtuvo antes la información para explotarlos. Encontró varios ataques de prueba de concepto el 21 de octubre desde aproximadamente las 0200 UTC, unas 12 horas antes de que llegaran las correcciones, y recomienda a las organizaciones revisar actividad sospechosa desde al menos el 17 de octubre.

En Reino Unido, el jueves se conoció el recuento de servicios desconectados. La ministra de Tecnología, la baronesa Lloyd of Effra, dijo en la Cámara de los Lores que 32 servicios gubernamentales no están disponibles y cuatro lo están parcialmente, en gran parte por medidas de precaución tomadas mientras se aplican las actualizaciones de seguridad. Downing Street dijo que ningún servicio esencial de cara al público se ha visto afectado, que algunos sitios limitados se han apagado mientras se hace el trabajo, y que las interrupciones no significan que los servicios hayan sido hackeados. El Centro Nacional de Ciberseguridad instó a las organizaciones a actualizar a una versión corregida de PHP, o a considerar desconectar sus sitios si no pueden actualizar de inmediato, y calificó la escala del problema de sin precedentes. La Oficina de Responsabilidad Presupuestaria desconectó su sitio, las páginas de algunos programas de la BBC dejaron de estar disponibles, y los ayuntamientos de Oxford y de Edimburgo desconectaron sus sitios el miércoles.

La carrera por actualizar se extendió por Asia el jueves, informó Reuters. El banco japonés Mitsubishi UFJ Financial Group dijo que suspendía temporalmente algunos servicios de internet por medidas de emergencia. El Ministerio de Finanzas de Japón también suspendió parte del contenido y los servicios en línea de su sitio mientras aplicaba medidas de seguridad. El ministerio de Industria de China instó a organizaciones y usuarios a inspeccionar sus sistemas de inmediato, actualizar a la última versión segura de PHP, reforzar la vigilancia y cambiar cuanto antes cuentas, contraseñas y claves. Corea del Sur elevó el nivel de alerta de ciberseguridad del sector privado y activó medidas de respuesta de emergencia, citando un mayor riesgo de ataques.

Dos fallos graves en PHP, el software que hace funcionar cerca del 70 por ciento de los sitios web del mundo, se hicieron públicos el miércoles 21 de octubre, y los propietarios de sitios en todo el mundo se apresuraron a instalar correcciones de emergencia. Los desarrolladores de PHP publicaron versiones actualizadas el mismo día y pidieron a todos los usuarios que actualizaran de inmediato.

Los fallos se conocen como CVE-2026-109618 y CVE-2026-109619, y los investigadores los llaman en conjunto php2shell. Ambos tienen una gravedad de 9,2 sobre 10. PHP trabaja en los servidores, procesa formularios y recupera información para sitios creados con plataformas como WordPress, Drupal y Joomla.

Qué hacen los fallos

Los fallos están en cómo PHP maneja los errores al procesar solicitudes web. Si una solicitud es demasiado grande y PHP se queda sin memoria, el software no libera la memoria que intentó usar, explicó Cloudflare. Un atacante que manipule los datos en esa memoria puede bloquear el proceso, leer información sensible del servidor o ejecutar su propio código en la máquina, todo sin iniciar sesión.

Wiz, la empresa de seguridad propiedad de Alphabet, la matriz de Google, dijo que había demostrado ataques contra instalaciones de WordPress, Drupal y Joomla, y que podía leer contraseñas y credenciales de la memoria de un servidor. La unidad Unit 42 de Palo Alto Networks contó más de 22,6 millones de sistemas expuestos en internet que podrían ser vulnerables. No todos los sitios con PHP pueden ser explotados, porque las configuraciones difieren, pero los desarrolladores dijeron que todas las instalaciones que atienden solicitudes web están en riesgo.

La IA encontró los fallos y una filtración adelantó el calendario

La empresa Calif encontró el primer fallo usando el modelo GPT-5.6 Sol de OpenAI y lo reportó a PHP el 11 de agosto de 2026, según Reuters. Wiz encontró los fallos de forma independiente y reportó un segundo el 24 de agosto de 2026, también usando modelos de IA. Las correcciones se preparaban en secreto hasta que los detalles se filtraron en el foro Hacker News el martes 20 de octubre de 2026. Los desarrolladores adelantaron entonces la publicación un día.

OpenAI calificó los fallos como uno de los problemas de seguridad de mayor impacto en la memoria reciente y dijo que trabajó con la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad y la agencia CISA para que las guías llegaran a los operadores de servicios esenciales. La Casa Blanca dijo el miércoles que trabajaba para acelerar la entrega de la corrección y proteger las redes estadounidenses.

Gobiernos desconectan sitios antes que arriesgarse

La NSA, el FBI y CISA instaron el miércoles a las organizaciones a aplicar el parche de inmediato y a desconectar los sistemas que no pudieran asegurarse pronto. La NSA dijo que fallos de este tipo suelen dar al atacante un camino directo al sistema de archivos o a la base de datos de un servidor. Agencias de Reino Unido, Canadá, Australia y la Unión Europea emitieron avisos similares. El gobierno de Finlandia y la Cámara de Representantes de Países Bajos desconectaron sitios el miércoles mientras actualizaban.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Actualizar WordPress u otra aplicación no actualiza el PHP que está debajo, así que los propietarios necesitan actualizar el paquete del servidor o la confirmación de su proveedor de alojamiento. Cloudflare dijo que había activado reglas de cortafuegos para proteger a sus clientes. Expertos de watchTowr y Sophos dijeron que los delincuentes ya discutían los fallos y buscaban sistemas abiertos, aunque hasta el miércoles por la tarde no se había confirmado ningún ataque exitoso.

Fuentes

Reuters Nextgov Cybersecurity Dive USA Today The Register Reuters PA Media PA Media