Durante diez años, una pieza central de internet convivió con errores que pasaron inadvertidos. Aunque ya existían indicios, traducir esas fallas en ataques prácticos resultaba sumamente complejo, por lo que quedaron fuera del radar de la tecnología durante mucho tiempo. Eso comenzó a cambiar con la irrupción de la inteligencia artificial: herramientas capaces de revisar código, ensayar combinaciones y repetir procesos de forma autónoma aceleraron tareas que antes demandaban meses de trabajo de especialistas en seguridad.

PHP sostiene millones de sitios y aplicaciones en todo el mundo desde hace décadas. Se trata de un lenguaje de programación clave para construir y ejecutar experiencias web; su peso se nota en plataformas como WordPress, Drupal, Joomla y MediaWiki, la tecnología detrás de Wikipedia. Según Wiz, aproximadamente el 70% de las páginas web utiliza PHP de alguna forma.

Los investigadores identificaron dos vulnerabilidades críticas en el propio motor del lenguaje, no en las aplicaciones que corren sobre él. Los fallos permitían a un atacante:

- ejecutar código de forma remota,
- acceder a datos almacenados en memoria,
- obtener contraseñas o tokens,
- comprometer servidores,
- interrumpir servicios.

El problema no dependía de una falla en WordPress, Drupal u otra herramienta; la vulnerabilidad estaba en PHP, por lo que incluso aplicaciones simples podían quedar expuestas si estaban bajo una versión afectada. El origen radicaba en la forma en que PHP maneja ciertos errores graves, especialmente cuando un servidor se quedaba sin memoria. En ciertas circunstancias podían quedar datos internos sin limpiar adecuadamente, y un atacante que manipulara ese comportamiento podría aprovechar información residual para ejecutar instrucciones o acceder a datos.

Las fallas fueron agrupadas bajo los identificadores CVE-2026-109618 y CVE-2026-109619. Su descubrimiento obligó a acelerar actualizaciones de seguridad por parte de desarrolladores y empresas de infraestructura digital.

La respuesta fue coordinada: Calif detectó una de las vulnerabilidades usando GPT-5.6 Sol dentro de la iniciativa Patch the Planet de OpenAI, y Wiz identificó problemas relacionados y participó en la validación de ataques y soluciones. Las pruebas evidenciaron la posibilidad de lograr ejecución remota de código sin necesidad de autenticación en instalaciones que usan WordPress, Drupal y Joomla. El proceso se mantuvo bajo confidencialidad mientras se preparaban las correcciones.

PHP publicó el parche el 21 de octubre de 2026 y recomendó actualizar de inmediato a las versiones seguras disponibles. La advertencia alcanza a instalaciones expuestas a través de PHP-FPM, Apache, php-cgi y otras configuraciones. El desafío ahora recae en los sistemas que siguen funcionando con versiones antiguas. Actualizar una aplicación completa puede requerir tiempo, recursos y una planificación adecuada para minimizar interrupciones.