La IA encontró el agujero; Europa, el enchufe

Dos fallos que abren el servidor sin llave

Según php.net, los dos fallos, CVE-2026-109618 y CVE-2026-109619, afectan a todas las instalaciones de PHP que sirven páginas web, y el riesgo es mayor con mod_php, el módulo que integra PHP en el servidor Apache. Ahí se ha demostrado un ataque que no necesita identificarse.

El lenguaje de WordPress, Drupal y Joomla

Wiz dice haber tomado el control, en pruebas, de WordPress, Drupal y Joomla. Según Wiz, todas las versiones de la última década, desde la 5.4, tienen al menos uno de los dos fallos; Calif también data en PHP 5.4.0 la versión afectada más antigua que encontró.

Cuánto hay en juego

PHP puntúa los dos fallos con un 9,2 en la escala CVSS 4.0, dentro de la franja más alta.

El «70 %» lo da Wiz y es la cuota de webs que usan PHP, no un recuento de webs vulnerables; la BBC dice que no ha podido verificarlo. Lo medido es otra cosa: según datos de Censys, empresa de inteligencia sobre internet, recogidos por la agencia Reuters, unos 1,5 millones de los 2,6 millones de servidores analizados declaran una versión de PHP sin arreglo.

Calif lo encontró con ayuda de un modelo

Calif empezó a revisar PHP el 30 de julio, invitada a Patch the Planet, la iniciativa que OpenAI y la consultora de seguridad Trail of Bits lanzaron el 22 de junio para que proyectos críticos de código abierto encuentren y arreglen fallos con IA. Según su relato, dio con las primeras vías de ataque a los pocos días.

OpenAI afirma que Calif usó su modelo GPT-5.6 Sol. Calif no nombra el modelo: dice que trabajó con un asistente de IA, sin herramientas especiales ni modelos fuera del alcance de cualquiera. Según la PHP Foundation, OpenAI comunicó por su cuenta la misma causa el mismo día, el 11 de agosto; la fundación agradece a OpenAI y a Anthropic, entre otros, que financiaran parte de su trabajo de seguridad.

Wiz, con el modelo de su matriz

Wiz encontró su primer fallo el 19 de agosto con Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol, y destaca la «contribución inestimable» de Gemini 4 Argon para hallarlo, desarrollar el ataque de prueba, detectarlo y validar el parche.

Cada empresa cuenta su parte: Wiz subraya el modelo de su matriz, Google, y OpenAI el suyo. Según Wiz, con los modelos más avanzados y las herramientas adecuadas, «un solo investigador completó en una semana lo que antes habría llevado meses a un equipo de primer nivel».

Dos meses en silencio y un día de adelanto

Entre el primer aviso y el parche pasaron algo más de dos meses de trabajo discreto entre PHP, los descubridores, las distribuciones de Linux y los proveedores de defensas. Según la PHP Foundation, el 20 de octubre los identificadores de los fallos empezaron a circular en redes, sin detalles técnicos, y PHP adelantó un día la salida.

La fundación reconoce que el arreglo del fallo de fondo, detectado en 2024, se atascó durante meses: «el retraso fue un fallo estructural», escribe, por cómo decidía su equipo de seguridad y por su falta de recursos.

Europa tira del cable

Según la BBC, Finlandia cerró temporalmente los servicios web públicos del Gobierno, y en los Países Bajos se desconectaron la web de la agencia de ciberseguridad, el NCSC, la del RIVM, el instituto nacional de salud pública, y la de la Tweede Kamer, la cámara baja. Reuters añade el puerto de Rotterdam, el portal Overheid.nl y la federación de fútbol KNVB; en Dinamarca, servicios de Kombit, la empresa municipal de informática, y en Francia, todas las webs del Ministerio del Interior, en mantenimiento preventivo.

La consigna oficial fue actualizar o desconectar. La dieron CISA, la agencia de ciberseguridad del Departamento de Seguridad Nacional de EE. UU.; CERT-EU, el equipo de ciberseguridad de las instituciones de la UE, alojado en la Comisión Europea, y, según la BBC, la NSA y el centro nacional de ciberseguridad británico. En España, INCIBE-CERT, el centro de respuesta del Instituto Nacional de Ciberseguridad, dependiente del Ministerio para la Transformación Digital y de la Función Pública, publicó el aviso INCIBE-2026-762, de gravedad crítica. No consta ninguna web española desconectada.

Intentos vistos, ninguna intrusión confirmada

INCIBE-CERT marca «Explotación: No» en la tabla de su aviso del 21 de octubre, pero su propio texto dice que «se han comunicado ataques contra servidores PHP antes de la publicación de las actualizaciones». CISA escribió ese día que no había observado explotación; Huntress, empresa de ciberseguridad que protege a compañías a través de socios, tampoco la veía en los sistemas de sus socios a las 16:30 del 21, hora del este de EE. UU. La PHP Foundation no halló, al publicar, ningún código de ataque que funcionara.

Enfrente, watchTowr, empresa que vende vigilancia de la exposición a internet, dice en su página de preguntas, actualizada a las 00:33 UTC del 22, que desde el 21 ve explotación en su red de señuelos. Cloudflare, empresa de infraestructura de internet que vende la protección que menciona, escribió a las 13:56 UTC del 21 que veía tráfico de ataque contra sus clientes. Y Amazon, según Reuters, detectó un intento contra un señuelo el 17 de octubre; dice que no sabe si algún intento habría funcionado contra webs reales y, a la vez, que los fallos ya «se explotan de forma amplia».

Lo que se puede afirmar: hay intentos de ataque observados, varios contra señuelos, y nadie ha confirmado en público una intrusión con éxito en un sistema real.

Actualizar es lo único que lo arregla

Según php.net, no hay mitigación completa y actualizar es la única opción segura; los ajustes temporales reducen la exposición, pero no dejan la instalación a salvo. Cloudflare activó reglas de su cortafuegos de aplicaciones web para todos sus clientes y aun así recomienda parchear y, si es el alojamiento quien gestiona PHP, pedirle que lo actualice. OpenAI ha publicado un comprobador de código abierto, php2shell-checker, para saber si una versión es vulnerable.