¿Has notado que algunas páginas web dejaron de funcionar este miércoles? No fue casualidad. Varios administradores decidieron apagar temporalmente sus servicios mientras esperaban el parche para dos graves vulnerabilidades detectadas en PHP, el lenguaje de programación que sustenta aproximadamente el 70% de los sitios en internet.
Estos fallos, identificados como CVE-2026-109618 y CVE-2026-109619, no implican que los sitios web hayan sido comprometidos todavía, pero sí representan un peligro mayúsculo. El verdadero problema radica en cómo se gestionó el embargo para la publicación de las correcciones y en las limitaciones estructurales en el mantenimiento de PHP.
En concreto, el proyecto PHP lanzó nuevas versiones correctivas para las ramas activas: 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los usuarios con versiones anteriores deben actualizar o recibir backports de los distribuidores. Cabe destacar que estas vulnerabilidades no afectan directamente a WordPress, aunque este popular gestor de contenidos recomendó a sus usuarios actualizar PHP como medida preventiva. 
El hallazgo de estos errores fue posible gracias a una investigación impulsada por la inteligencia artificial, en el marco de la iniciativa Patch the Planet promovida por OpenAI. La empresa de seguridad Calif empleó el modelo GPT-5.6 Sol para descubrir un camino hacia la ejecución remota de código, reportándolo el 11 de agosto. Ese mismo día, OpenAI independientemente reportó la vulnerabilidad, y Wiz también participó con sus análisis.
Los responsables de PHP confirmaron que ya habían detectado indicios del problema de falta de memoria desde 2024, pero solo este año lograron comprender plenamente sus consecuencias. Como explica Moshe Siman Tov Bustan, de OX Security: «Esta es una de las vulnerabilidades críticas más amplias que existen. Si tienes un servidor PHP accesible al público y no lo has parcheado, da por hecho que estás expuesto. Si encuentras evidencias de explotación, asume que el sistema está comprometido».
Desde OX Security, su director general Neatsun Ziv añadió: «Cuando un fallo afecta a una tecnología tan extendida, el impacto no se limita a un solo producto o industria, sino que abarca toda la web».
Una crisis de coordinación y una polémica ruptura del embargo
La publicación de los parches no estuvo exenta de controversia. Antes del lanzamiento oficial, la difusión de los detalles técnicos empezó a crecer, con la circulación de los identificadores CVE y la filtración accidental de un vídeo con prueba de concepto. En medio de este escenario, el CEO de Chainguard, Dan Lorenc, decidió publicar imágenes corregidas de contenedores más de seis horas antes de la fecha prevista de forma coordinada.
Lorenc justificó su ruptura del embargo con la presencia de informes que indicaban explotación activa de la vulnerabilidad, una decisión que la PHP Foundation no respaldó, considerando que esa acción dio a los atacantes la oportunidad de estudiar las correcciones antes de que la mayoría de los usuarios pudieran acceder a ellas.
En su defensa, Lorenc explicó que Chainguard detectó el fallo de forma independiente y que la decisión se basó en tres razones: la facilidad con la que habían encontrado y reproducido la vulnerabilidad, la información ya disponible en el entorno sobre el problema y las evidencias de ataques en entornos reales.
La discrepancia clave radica en qué se considera prueba suficiente de explotación en la naturaleza. Mientras Chainguard y varios proveedores afirmaron detectar ataques activos, la fundación aseguró no haber identificado un exploit funcional antes de la publicación.
Amazon Threat Intelligence informó de intentos de explotación contra honeypots el 17 y el 21 de octubre, sin poder confirmar si esos ataques habrían tenido éxito en entornos reales.
El origen del fallo: un fallo estructural desde 2024
La PHP Foundation admitió un fallo de fondo en la manera de abordar estas vulnerabilidades. Durante una auditoría en 2024, ya se había detectado un problema de agotamiento de memoria relacionado con esta brecha, pero la complejidad para desarrollar un parche efectivo y compatible llevó a repetidos retrasos y bloqueos técnicos. A esta falta de recursos y estructura se atribuye el retraso en mitigar el riesgo.
Esta realidad impulsa el debate sobre la necesidad de financiar y apoyar mejor el mantenimiento del software de código abierto, que resulta vital para la infraestructura en línea mundial. Actualmente, la fundación busca más colaboración de empresas, proveedores de hosting y gobiernos para fortalecer la seguridad de PHP.
Por su parte, Canonical, empresa matriz de Ubuntu Linux, valoró la coordinación y comunicación general del proceso, aunque lamentó la filtración anticipada de información que complicó la gestión.
En un contexto más amplio, expertos como Peter Nelson, CTO de CIQ, vinculan este episodio con una transformación en la seguridad del ecosistema Linux y software libre. La inteligencia artificial está acelerando la identificación de vulnerabilidades, lo que requiere nuevas estrategias y recursos para proteger el código abierto.
Impulsar la seguridad exige colaboración y urgencia
Desde Red Hat, Gunnar Hellekson pone énfasis en la importancia de desplegar actualizaciones probadas y de confianza lo antes posible, incluso fuera de los ciclos habituales de mantenimiento, especialmente cuando se trata de fallos en piezas críticas como PHP.
Kara Sprague, CEO de HackerOne, recuerda que la seguridad del código abierto es responsabilidad colectiva. «No podemos depender únicamente de un pequeño grupo de mantenedores para hacer frente a amenazas cada vez más complejas», alerta.
Por ahora, las organizaciones que utilicen versiones vulnerables de PHP deben implementar las actualizaciones cuanto antes y buscar señales de compromisos en sus sistemas, considerando que las actividades maliciosas pueden haberse iniciado desde el 17 de octubre.
Este episodio evidencia el desafío que supone proteger infraestructuras críticas en un entorno donde la inteligencia artificial acelera las investigaciones y ataques, y subraya la necesidad de nuevos modelos de colaboración, financiación y respuesta para la seguridad del software libre en la era digital.
