San Francisco, California. - Dos vulnerabilidades críticas en PHP, que soporta casi el 70% de los sitios web a nivel global, fueron descubiertas por OpenAI, Wiz y la startup Calif. El hallazgo, comunicado el 21 de octubre, llevó a un esfuerzo urgente para aplicar parches en servidores alrededor del mundo, destacando la preocupación por la seguridad digital.
Las vulnerabilidades, catalogadas como CVE-2026-109618 y CVE-2026-109619, presentan una puntuación de 9.2 sobre 10 en la escala CVSS v4.0. Permiten la ejecución remota de código sin autenticación, afectando directamente al motor de PHP. Esto implica que cualquier sitio web que use una versión vulnerable, sin importar cuán simple sea, está en riesgo. El diseño del software significa que los problemas no se resolverán mediante un simple plugin de seguridad.
Los máximos riesgos se han observado en la configuración Apache con mod_php, señalando que un solo intento de acceso no autenticado puede permitir la explotación antes de que se active el sistema de protección usual. Según los expertos, incluso sin ejecutar código, un atacante puede acceder a información crítica, como contraseñas y tokens de autenticación.
“Consideramos que este es uno de los problemas de seguridad más importantes de los últimos tiempos”, advirtió OpenAI en su blog. La misma preocupación fue expresada por Wiz, quienes consideran estos hallazgos como vulnerabilidades sin precedentes en la historia de PHP.
Hasta el 21 de octubre, las versiones corregidas de PHP incluyeron 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Importante mencionar que PHP 8.1 y anteriores ya no reciben soporte oficial. La comunidad afectada incluye plataformas populares como WordPress y Joomla, que subrayan la necesidad de una gestión proactiva en la actualización de sus sistemas PHP.
El impacto de estas vulnerabilidades se sintió ampliamente, causando interrupciones en sitios como Wikipedia y GOG. A nivel mundial, organizaciones gubernamentales, incluida la NSA, emitieron recomendaciones urgentes para actualizar el software ante el riesgo de explotación masiva.
Con información de ecosistemastartup.com