Una grave crisis de seguridad se está desarrollando hoy mientras fallos generalizados en PHP causan numerosas interrupciones en sitios web y generan páginas de error. Los expertos advierten que casi el 70 por ciento de los sitios web deben actualizar su software central inmediatamente para abordar dos vulnerabilidades críticas que permiten a los atacantes ejecutar código arbitrario y tomar el control total de los servidores afectados. Ya se ha confirmado que existen exploits funcionales para estos errores en uso en la naturaleza.
Las vulnerabilidades afectan a PHP, el lenguaje de programación que impulsa importantes sistemas de publicación web, incluidos Drupal, Magento, Joomla y WordPress. En respuesta, el equipo de PHP lanzó una actualización de seguridad de emergencia más temprano hoy. Los fallos afectan a todos los servidores web que ejecutan la versión 5.4 o posterior de PHP y se rastrean bajo CVE-2026-109618 y CVE-2026-109619. Se han emitido parches en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
El impacto inmediato ya se ha sentido a nivel global, con Reuters reportando que sitios web gubernamentales en Europa y otras regiones quedaron fuera de línea tras la divulgación. Cloudflare detectó intentos de explotación activa temprano por la mañana e implementó reglas del firewall de aplicaciones web a las 3:02 am UTC para bloquear el tráfico de ataque. Estos exploits plantean riesgos de denegación de servicio, ejecución remota de código y exposición de datos.
OpenAI, que participó en los esfuerzos de investigación y divulgación, describió la situación como uno de los problemas de seguridad más impactantes en la memoria reciente debido a la gravedad de las fallas y la ubicuidad de PHP. Los datos de Censys indican que aproximadamente 2,58 millones de hosts orientados a Internet y 54,9 millones de propiedades web están ejecutando actualmente PHP. Los expertos en seguridad de Wiz señalaron que cada versión de PHP lanzada en la última década se ve afectada por al menos una de estas vulnerabilidades.
Los investigadores de Wiz, quienes fueron acreditados con el descubrimiento de las fallas junto con Calif y OpenAI, declararon que los errores subyacentes habían existido durante décadas pero requerían una cadena excepcionalmente compleja de pasos para ser explotados. Destacaron que los modelos de IA de vanguardia redujeron significativamente esta barrera, convirtiendo un fallo teórico de larga data en un exploit práctico. Los investigadores anticipan una explotación masiva dirigida a instalar puertas traseras basadas en la web o "web shells" para controlar remotamente los sitios infectados.
La magnitud del problema ha generado comparaciones con la vulnerabilidad Log4Shell de 2021. Los investigadores de Wiz enfatizaron que, dado que PHP está profundamente integrado en las nubes, los proveedores de alojamiento y las redes de entrega de contenido, es probable que las organizaciones tengan dificultades para parchear estas vulnerabilidades durante algún tiempo. El Centro de Tormentas de Internet de SANS está monitoreando las principales plataformas que envían actualizaciones, incluidas las recientes versiones de paquetes de Ubuntu.
Fuentes: Krebs on Security.