Si tu web corre sobre WordPress, es muy probable que esta semana alguien haya tenido que actualizarla a contrarreloj. Dos fallos críticos en PHP, el lenguaje que según algunas estimaciones usa hasta el 70 % de los sitios web, obligaron a apagar servicios en medio mundo tras conocerse el miércoles.
Las vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código malicioso de forma remota en servidores vulnerables. El aviso de los desarrolladores de PHP les asignó una gravedad de 9,2 sobre 10. El parche se publicó a las 10:00 (hora del este de EE. UU.).
Un error de 20 años que la IA volvió explotable
El fallo no es nuevo. Existe en PHP desde hace unos 20 años, pero aprovecharlo, según la firma de seguridad Wiz, «requería una cadena de pasos excepcionalmente compleja, al límite de lo que los investigadores humanos podían lograr en la práctica».
Antes de seguir: llévate las herramientas y prompts listos para usar, GRATIS. Probados uno a uno y ordenadas por la tarea que quieres resolver: vídeo, imagen, voz, escribir, automatizar tu negocio, clientes, web. Es gratis y la lista crece cada semana.
Entras también en el boletín semanal de La Prensa IA. Te das de baja cuando quieras, con una palabra.
Los modelos de IA potentes han cambiado esa ecuación. OpenAI sostiene que un investigador de Calif utilizó GPT-5.6 Sol para identificar las vulnerabilidades antes de que lo hicieran los atacantes, y ha compartido una herramienta para que los desarrolladores comprueben si usan una versión de PHP que necesita parche.
Ami Luttwak, cofundador de Wiz, empresa que también colaboró en la identificación del exploit, declaró al Wall Street Journal que se trata de «la vulnerabilidad de IA más grave que se haya encontrado jamás». Wiz la ha descrito como una de las más graves de la historia del software.
Ataques antes del parche: lo que vieron Amazon y Cloudflare
Los atacantes no esperaron. El director de seguridad de Amazon, CJ Moses, escribe que el equipo de Amazon Threat Intelligence detectó un intento de explotación, bautizado PHP2Shell, el 17 de octubre. Lo captó un sistema de monitorización diseñado como cebo para hackers. Eso fue días antes de que existiera parche.
Cloudflare ofrece la medida de la escala. Su consejero delegado, Matthew Prince, afirmó que la red de la compañía registró miles de intentos de explotación en las 10 horas previas al anuncio público. Pasaron a «cientos de miles» en las dos horas posteriores y a «millones» a última hora del día.
Wikipedia, 4chan y el Internet Archive: quién tuvo que apagar
El impacto fue visible. Wikipedia, 4chan y DeviantArt sufrieron problemas. Algunas agencias gubernamentales de Países Bajos y Finlandia retiraron sus sitios de forma preventiva. Pokémon Home y Pokémon Champions también quedaron fuera de línea, según Kotaku.
El Internet Archive estuvo brevemente caído. Su equipo de operaciones lo parcheó y lo recuperó con rapidez. El bibliotecario digital Brewster Kahle agradeció en Mastodon el trabajo de «héroes en muchísimas organizaciones», y advirtió: «Podría haber sido sin luz y sin semáforos, problemas reales».
La NSA, a través de su cuenta de ciberseguridad en X, y el Centro Nacional de Ciberseguridad del Reino Unido recomendaron a las organizaciones desconectar sus sistemas si no podían actualizar de inmediato.
Qué se sabe de la ejecución de código y qué no
Según la firma watchTowr, se trata de fallos de ejecución remota de código que afectan a todas las versiones desde PHP 5. Un atacante podría ejecutar su propio código en un servidor, alterar webs o robar datos.
Elizabeth Barron, directora ejecutiva de la PHP Foundation, dijo a The Verge que, «hasta donde sabemos, no ha habido ningún intento exitoso de ejecución remota de código». Pero insistió en que actualizar los sistemas afectados es «imperativo». El matiz importa: hay intentos masivos documentados, no compromisos confirmados.
Los servicios que no pueden actualizarse y desaparecen
El problema es más hondo que aplicar un parche. Al afectar a casi dos décadas de versiones, muchas de ellas ya sin soporte, los sitios que nadie mantiene o que dependen de tecnología antigua quedan sin salida.
Dos juegos móviles japoneses con más de una década de vida, World Quest y Save My Demonic World, cierran por esa razón: sus desarrolladores aseguran que no pueden actualizarlos. Kotaku advierte del riesgo de que partes enteras de la historia de internet queden fuera de la vista pública.
Qué debes revisar si tienes una web o gestionas servidores con PHP
Estos puntos se derivan de lo que han señalado las fuentes citadas:
Comprueba tu versión de PHP. OpenAI ha publicado una herramienta para verificar si usas una versión potencialmente vulnerable. Si tu versión ya no tiene soporte, el parche puede no existir para ti.
Aplica la actualización publicada el miércoles. La PHP Foundation la califica de imperativa, y el aviso pedía actualizar en cuanto estuviera disponible.
Si no puedes actualizar de inmediato, valora desconectar el sitio, como recomendaron la NSA y el NCSC británico. Es lo que hicieron las agencias neerlandesas y finlandesas.
Revisa si alguno de tus servicios depende de código sin mantenimiento. Es el caso que ha condenado a los dos juegos japoneses.
Qué implica para ti
Si administras una web en WordPress, Drupal o cualquier sistema basado en PHP, la actualización dejó de ser una tarea de mantenimiento rutinario y pasó a ser urgente. Comprueba hoy qué versión ejecutas y quién la mantiene.
Si eres usuario, es posible que encuentres servicios antiguos que no vuelvan a abrir. El caso de World Quest y Save My Demonic World muestra que los proyectos sin equipo activo son los que tienen menos margen. Lo prudente es no dar por sentado que todo lo que usabas seguirá disponible.
Imagen ilustrativa generada con inteligencia artificial.
Más sobre esto en LaPrensaIA
Fuente original: theverge.com
Esta pieza la ha redactado Iberia, el sistema de inteligencia artificial de LaPrensaIA, a partir de las fuentes citadas. Fermín Sánchez ha decidido publicarla y responde de ella. Cómo trabajamos.
Contenido elaborado con la asistencia tecnológica de IBERIA y supervisión editorial. Fermín Sánchez es el responsable editorial de LaPrensaIA, diario de divulgación sobre inteligencia artificial. Cubrimos la actualidad de la IA con criterio propio —tecnología, empresas y sociedad— de forma clara para el público no técnico.
