PHP es el motor que sostiene cerca del 70% de las páginas web en el mundo, según datos de Wiz Research. Esto convierte cualquier vulnerabilidad en su núcleo en un riesgo masivo para la seguridad digital global. El pasado miércoles, un equipo de investigadores reveló la existencia de dos fallos críticos, conocidos como PHP2Shell y referenciados con las siglas CVE-2026-109618 y CVE-2026-109619, que obtuvieron una puntuación de 9,2 en la escala de severidad CVSS v4.0. Estos defectos fueron detectados gracias al uso de modelos de inteligencia artificial de vanguardia.
El descubrimiento fue posible gracias a la combinación de herramientas de IA punteras: investigadores de la plataforma Calif.io detectaron una de las vulnerabilidades usando GPT-5.6 Sol de OpenAI, mientras que el equipo de Wiz identificó ambas utilizando Wiz Atlas junto a Google Gemini 4 Argon y GPT-5.6 Sol. Otros actores del sector, como Quarkslab y Cloudflare, también participaron en la divulgación de estos fallos.
Más de una década con fallos latentes
La raíz del problema reside en la gestión de errores por parte de PHP. Cuando una solicitud consume demasiada memoria o provoca un fallo, el sistema puede dejar referencias a espacios de memoria ya liberados. Posteriormente, otro proceso puede tratar esas referencias como válidas, permitiendo potencialmente que un atacante acceda a datos confidenciales o ejecute código malicioso. 
Estos son ejemplos clásicos de vulnerabilidades relacionadas con la seguridad de la memoria, como uso después de liberación (use-after-free) y confusión de tipos. Durante años, los desarrolladores han intentado mitigar estos problemas migrando componentes críticos de PHP escritos en C a lenguajes más seguros como Rust. Sin embargo, el motor de PHP sigue siendo mayoritariamente escrito en C, lo que facilitaba la explotación.
Wiz demostró que estas vulnerabilidades podían aprovecharse en plataformas populares bajo PHP como WordPress, Drupal y Joomla, incluso sin necesidad de autenticarse. También enseñaron ataques capaces de filtrar información sensible del servidor sin ejecutar código.
Al menos uno de estos defectos afecta a todas las versiones de PHP lanzadas durante la última década, remontándose hasta PHP 5.4. La dificultad para explotarlos radicaba en que era necesario encadenar varias vulnerabilidades, lo que complicaba su detección y prueba en condiciones reales.
El impacto decisivo de la inteligencia artificial
La intervención de la IA fue clave para acelerar el hallazgo. Según Wiz, un único investigador con acceso a modelos avanzados de IA consiguió en una semana avances que antes requerían meses de análisis por parte de equipos enteros. La compañía calificó este descubrimiento como un «punto de inflexión para la inteligencia artificial», destacando que las vulnerabilidades existían desde hace tiempo, pero era la IA la que facilitó la creación de exploits efectivos.
Raluca Ada Popa, responsable del equipo Gemini Security en Google DeepMind, definió el uso de estas tecnologías como un «cambio radical para la defensa cibernética». De hecho, ya existen herramientas automatizadas que inspeccionan bases de código en busca de fallos y bloquean propuestas de cambio que introduzcan riesgos, como la plataforma Cursor, que lanzó hace poco una flota de agentes de IA dedicados a esta tarea.
Dos meses para desarrollar un parche global
Wiz detectó el primer fallo el 19 de agosto y validó una ejecución remota de código sin autenticación en Drupal al día siguiente, replicando la prueba con WordPress el 21 de agosto. Las vulnerabilidades fueron reportadas al equipo de seguridad de PHP el 24 de agosto. Tras validar el informe el 21 de septiembre, comenzaron los trabajos conjuntos para implementar y probar un parche que finalmente fue publicado el 21 de octubre, coincidiendo con la divulgación pública.
Coordinar la solución implicó cubrir distintas variantes del fallo en la gestión de memoria, asegurando que la corrección fuese compatible con múltiples versiones. Para ello fue necesaria la colaboración estrecha con proveedores de hosting, plataformas en la nube, empresas de seguridad y distribuidoras de Linux. Entre los socios clave estuvieron Cloudflare, Google Cloud, AWS, Microsoft y Akamai.
Advertencia anticipada y protección activa
Antes de la publicación oficial, la información se filtró. Cloudflare aseguró que empezó a proteger a sus clientes desde las 3:02 a.m. UTC del miércoles, aproximadamente nueve horas antes del anuncio. Detectaron inmediatamente ataques dirigidos a vulnerabilidades conocidas, con intentos continuos de modificar los payloads maliciosos para evitar las reglas de bloqueo. Como la simple inspección de peticiones no basta para confirmar una explotación exitosa, sus sistemas también monitorizan las respuestas del servidor.
Cloudflare insistió en que sus cortafuegos ofrecen una capa adicional de defensa, pero no sustituyen la aplicación urgente de los parches: «Los clientes deben actualizar sus repositorios PHP».
Un nuevo protocolo de respuesta coordinada ante fallos críticos de IA
OpenAI lideró, junto a sus socios, un esfuerzo de dos meses dentro de la iniciativa Patch the Planet para abordar estas vulnerabilidades en PHP. El mantenimiento y liberación de las correcciones estuvo a cargo de los responsables de PHP, mientras OpenAI aportó investigación y coordinación técnica.
Además, la organización propuso un marco de trabajo para el manejo coordinado de vulnerabilidades críticas detectadas mediante IA avanzada. Este plan contempla cinco fases: confirmación y reparación del fallo, testeo con modelos extensivos para detectar bypasses, difusión anticipada de información segmentada para permitir la preparación de distribuidoras, proveedores y agencias gubernamentales, preparación y despliegue de actualizaciones, y finalmente divulgación pública acompañada de guías para operadores.
En este proceso participaron entidades como la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), la Oficina Nacional de Ciberseguridad de EE. UU., la Fuerza de Superinteligencia de la Casa Blanca y colaboradores internacionales.
OpenAI reconoció el doble filo de esta tecnología: «las mismas capacidades pueden permitir a los atacantes desarrollar herramientas ofensivas y exploits a gran velocidad». Calificaron los fallos de PHP como «uno de los problemas de seguridad más impactantes en la memoria reciente».
Para apoyar a proyectos y organizaciones con recursos limitados, han destinado 1.000 millones de dólares en acceso subvencionado a IA a través del programa Daybreak for Frontline Defenders, además de financiar mantenedores mediante suscripciones de Codex for OSS y patrocinios directos.
Sin embargo, reconocen que las herramientas de IA, aunque poderosas, también complican la carga de trabajo de los responsables de software libre, quienes deben revisar código generado automáticamente que puede introducir nuevos problemas.
Actualización urgente y medidas de protección continuas
El anuncio oficial de seguridad PHP incluyó la publicación de cuatro versiones corregidas el 21 de octubre: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quienes utilicen distribuciones Linux o servicios gestionados deben verificar con sus proveedores, dado que algunos pueden aplicar correcciones sin modificar la numeración de versión.
Para facilitar esta tarea, OpenAI ha publicado una herramienta de verificación de versiones PHP basada en IA con dos funcionalidades de Codex para analizar servidores locales y sitios web. Aunque puede señalar versiones vulnerables, no garantiza la detección de parches aplicados mediante backports.
