PHP2Shell: fallas críticas de PHP halladas con IA desatan una carrera mundial de parches en 24 millones de sitios
Londres — Dos vulnerabilidades críticas en PHP, el lenguaje detrás de buena parte de la web pública, fueron encontradas con ayuda de modelos de inteligencia artificial y obligaron a una carrera mundial de parches este miércoles, según reportó Computer Weekly. Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten ejecución remota de código sin necesidad de autenticación y tienen una severidad de 9.2 sobre 10.
Los fallos, bautizados por los investigadores como PHP2Shell, permanecieron sin detectar por más de una década: afectan cada versión de PHP desde la 5.0 en 2004. PHP sostiene unos 24 millones de sitios web, según BuiltWith, y alrededor de tres cuartas partes de los sitios cuyo lenguaje puede identificarse, según W3Techs. Los parches de emergencia publicados este miércoles cubren solo PHP 8.2 y versiones más nuevas, dejando una larga cola de sitios antiguos expuestos.
Las vulnerabilidades fueron localizadas y verificadas con IA: las firmas de seguridad Wiz y Calif usaron GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google para encontrarlas y coordinaron la divulgación con el equipo de PHP antes de la publicación. Pero los detalles se filtraron antes de la fecha prevista y, según Cloudflare, ya se observaron ataques activos, con atacantes mutando sus métodos para evadir las protecciones.
La reacción fue inmediata en todo el mundo: el Centro Nacional de Seguridad Cibernética del Reino Unido recomendó desconectar los sistemas que no puedan parchearse de inmediato; la NSA de Estados Unidos y el CERT-EU emitieron advertencias similares. Finlandia suspendió servicios públicos por precaución, los Países Bajos sacaron de línea el portal Overheid.nl y el puerto de Róterdam, el Ministerio del Interior de Francia puso sus sitios en mantenimiento preventivo, y en el Reino Unido el consejo de Edimburgo y páginas de la BBC se apagaron temporalmente. Wikipedia también desconectó sistemas hasta poder parchearlos, informó la Fundación Wikimedia.
Foto: Computer Weekly
Fuente: Computer Weekly
