Si llevas la gestión de servidores de algún proyecto o trabajas en diseño web con WordPress, seguramente te hayas enterado de la noticia de esta semana pasada, PHP tenía dos vulnerabilidades críticas.
Pero lo interesante de este fenómeno son las consecuencias de una gestión caótica, que ha llevado a un aproximado 70% de las webs mundiales a cerrar sus accesos. Muchos rumores apuntaban a que un modelo de IA las habría filtrado, y cómo en un principio se catalogaron como riesgos de 10 sobre 10 según el sistema CVSS.
Finalmente la nota se quedó en 9.2, dado que estas fallas permitían ejecutar código de manera remota. Pero los problemas vienen de un proceso de descubrimiento y reacción que ha sido más complejo de lo que debería, generando un día de cierto pánico generalizado.
¿Por qué tanto revuelo?
En el proceso para detectar y arreglar vulnerabilidades de este tipo, que afectan a tantas organizaciones y lugares de internet paralelamente, la clave es la confidencialidad. El momento en que se reporta algo así públicamente se está compartiendo y motivando a usar una debilidad explotable para todo tipo de atacantes.
En este caso, desde todos los involucrados, se estaba preparando un parche para solventar las vulnerabilidades. Y como de costumbre, se intenta coordinar para que se extienda a la vez en todo tipo de sistemas. Primero se estudia cómo arreglar el problema, y luego todos los responsables de difundir el parche tienen una hora y fecha exactas.
A partir de ahí ya es más seguro hacer pública la información de las vulnerabilidades, ya que cualquier usuario puede solucionarlas. Pero resulta que una publicación en HackerNews filtró ambas vulnerabilidades antes de que estuvieran disponibles los parches. A veces alguien con contactos en alguna de las organizaciones envueltas en el proceso puede cometer estas irresponsabilidades, que acaban dando un vuelco al corazón de tantos técnicos a lo largo del mundo.
¿Qué es PHP?
PHP son las siglas de *Hypertext Preprocessor,* un lenguaje de scripts generalista y de código abierto, especialmente concebido para el desarrollo de aplicaciones web. Al ser una creación open source, es gratuito y sus actualizaciones y problemas se gestionan de manera comunitaria, con muchos desarrolladores involucrados.
Es un lenguaje muy útil y versátil, que se usa tanto para scripts del lado del servidor como ejecución de comandos en un sistema operativo. Permite aplicar todo tipo de funciones para la gestión web, como la encriptación de credenciales, y está tan extendido por su conveniencia.
Así es que todo sitio web basado en WordPress, y demás gestores de contenido, o sitios web complejos y de uso gubernamental dependen de PHP.
¿Cómo se descubrieron las vulnerabilidades de PHP?
Como parte de la iniciativa Patch the Planet, de OpenAI, la empresa Calif hace investigaciones apoyadas en la IA para hacking ético. Es decir, descubren vulnerabilidades tecnológicas para avisar a organizaciones de todo tipo y ayudar a la ciberseguridad de sus servicios.
Así fue como encontraron estas dos vulnerabilidades, que registraron como CVE-2026-109618 y CVE-2026-109619. Ambas son oportunidades para ejecutar código remotamente, cuando PHP gestiona peticiones al servidor. Al ser situaciones provocables con ciertos inputs a un sitio web, los convierte en puertas de entrada consistentes, y muy delicadas.
Esto podría permitir a un usuario malicioso hacerse con todo tipo de datos, modificar funciones de sitios web y tener acceso a servidores, lo más delicado en cualquier servicio web. En este caso fue gracias a la IA que se identificaron estos dos problemas, pero fueron errores humanos los que desencadenaron la ola de cierres de mantenimiento en la red.
