PHP corrige dos fallos críticos investigados con IA

La noticia

PHP ha publicado este 21 de octubre correcciones para dos vulnerabilidades críticas de su motor, conocidas conjuntamente como PHP2Shell. Los fallos pueden permitir que un atacante ejecute código sin iniciar sesión en determinados despliegues afectados. El nombre PHP2Shell procede de los investigadores. La recomendación del proyecto es actualizar el entorno PHP del servidor. [1][5][7]

Las investigaciones emplearon modelos de inteligencia artificial para identificar vías de ataque y comprobar su alcance. OpenAI atribuye a Calif un hallazgo realizado con GPT-5.6 Sol. Wiz declara haber utilizado Gemini 4 Argon, GPT-5.6 Sol y sus propias herramientas durante la investigación. Son descripciones de los participantes en el descubrimiento. [4][5]

Noticia · Qué falla

La primera vulnerabilidad, CVE-2026-109618, afecta al tratamiento del agotamiento de memoria. Si la ejecución se interrumpe en un momento delicado, PHP puede dejar datos internos incompletos y utilizarlos después como si fueran válidos. Su aviso técnico confirma ejecución remota de código con los permisos de la cuenta del proceso web, incluida una vía en Apache con mod_php que se activa antes de ejecutar la aplicación. [2]

La segunda, CVE-2026-109619, permite que sobrevivan referencias a memoria ya liberada entre peticiones atendidas por un mismo proceso. Su reutilización puede provocar filtraciones o ejecución de código. El mantenedor documenta vías de ataque demostradas tanto en mod_php como en PHP-FPM. Las condiciones no son idénticas para todas las variantes. [3]

Ambos avisos asignan una gravedad de 9,2 sobre 10 en CVSS v4.0. Esa puntuación describe la severidad del fallo. No mide cuántas instalaciones están expuestas ni la probabilidad de que una web concreta haya sufrido un ataque. [2][3]

El problema pertenece al motor que ejecuta PHP. Una aplicación puede verse afectada aunque su propio código no contenga el error. El proyecto incluye en el perímetro de riesgo las instalaciones web de PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, con diferencias en la explotación. [1]

Noticia · Qué versiones contienen la corrección

Las versiones de seguridad publicadas son estas. Los límites se aplican dentro de cada rama:

PHP 8.2: versiones anteriores a 8.2.35 dentro de esa rama. Primera versión corregida: 8.2.35.

PHP 8.3: versiones anteriores a 8.3.36 dentro de esa rama. Primera versión corregida: 8.3.36.

PHP 8.4: versiones anteriores a 8.4.27 dentro de esa rama. Primera versión corregida: 8.4.27.

PHP 8.5: versiones anteriores a 8.5.12 dentro de esa rama. Primera versión corregida: 8.5.12.

Los dos avisos técnicos identifican las mismas versiones corregidas. [2][3]

Para PHP 8.1 y anteriores, fuera del soporte ordinario del proyecto, la situación depende también del proveedor. PHP ha facilitado correcciones mínimas en código para 7.4, 8.0 y 8.1. Algunas distribuciones y empresas de soporte prolongado pueden ofrecer parches retroportados. Por eso conviene verificar el paquete concreto, en lugar de decidir solo por su número de versión base. Las medidas de configuración reducen algunas vías de ataque, pero el proyecto no las considera una solución completa. [1]

Noticia · Qué papel tuvo la IA y qué se conocía antes

El relato no empieza con una máquina que encuentra de repente un error desconocido. La Fundación PHP explica que un desarrollador detectó indicios de la causa del problema de memoria en 2024, al corregir resultados de una auditoría de Quarkslab. No se había demostrado entonces una vía concreta de ejecución remota. [6]

El arreglo se demoró entre alternativas con costes de compatibilidad, dificultades de decisión y recursos limitados. La Fundación reconoce un fallo estructural en ese retraso. Según la Fundación, Calif comunicó una ejecución remota el 11 de agosto de 2026 y otros investigadores aportaron hallazgos y nuevas vías. Los mantenedores de PHP lideraron la corrección. [4][6]

Calif destaca además que el conocimiento previo del investigador sobre la historia de PHP orientó el trabajo. La aportación de la IA puede ser decisiva sin que desaparezca la experiencia humana que formula las preguntas, interpreta los resultados y valida las soluciones. [7]

Calif también aclara que en el hallazgo inicial no utilizó acceso a modelos que no estuvieran disponibles públicamente. Sus detalles sobre el método y la atribución de OpenAI describen aspectos distintos de la investigación [4][7].

Noticia · Por qué el 80 % no describe la exposición

La amplia presencia de PHP explica la importancia del incidente, pero exige cuidado con el denominador. W3Techs registra este 21 de octubre un uso del 69,3 % entre los sitios cuyo lenguaje de programación del servidor puede identificar. Es una medida de adopción tecnológica. [8]

La misma serie recogía un 80,6 % en enero de 2015. Esa cifra histórica ayuda a entender por qué sigue circulando la expresión de que PHP sostiene cerca del 80 % de la web, aunque no permite atribuir el origen de cada titular que la repite. [9]

Ni el porcentaje antiguo ni el actual son un censo de instalaciones vulnerables. Para estimar la exposición habría que conocer versiones, parches, configuración y vías de acceso. Tampoco indican cuántas webs han sido comprometidas.

Análisis · El descubrimiento y la corrección avanzan a velocidades distintas

PHP2Shell plantea una pregunta que va más allá de este lenguaje: qué ocurre cuando aumenta la capacidad para encontrar fallos y convertirlos en ataques, mientras resolverlos exige coordinar a muchas organizaciones.

Wiz explica que los modelos ayudaron a encadenar errores y adaptar ataques de demostración a distintas aplicaciones y configuraciones. Su interpretación es que la complejidad técnica ofrece una barrera menor cuando esas tareas pueden acelerarse. Ese resultado de investigación merece atención, pero no permite medir por sí solo cuánto se ha abaratado un ataque real ni anticipar su frecuencia. [5]

La posibilidad defensiva es considerable. Demostrar que un error es explotable permite priorizarlo, comprobar una corrección y preparar a los proveedores antes de divulgar detalles. La misma capacidad también puede facilitar el trabajo de quien busque atacar. El efecto final depende de quién dispone de las herramientas, del tiempo disponible y de si las correcciones llegan a los sistemas utilizados.

Análisis · El mantenimiento forma parte de la seguridad

Nuestro criterio es que encontrar más errores solo mejora la protección cuando existe capacidad para decidir qué corregir, comprobar que la solución conserva el funcionamiento y distribuirla. Un parche disponible es un avance esencial, pero cada instalación debe incorporarlo.

Esto también limita una explicación que atribuya todo a la potencia de los modelos. La organización del mantenimiento, las decisiones de compatibilidad y los recursos de los equipos pueden condicionar el desenlace. La respuesta exige herramientas capaces y personas que conozcan el sistema y asuman las decisiones.

Para quien administra una web, la pregunta práctica es si el entorno que ejecuta PHP contiene la corrección. Una actualización del gestor de contenidos no responde por sí sola a esa cuestión. En un alojamiento gestionado, corresponde comprobarlo con el proveedor.

Para el resto de lectores, el caso permite ver una dependencia compartida que suele permanecer oculta. Muchos servicios distintos pueden apoyarse en una misma pieza de software. Cuidar esa pieza y sostener a quienes la mantienen afecta a la fiabilidad de todos ellos.