Qué pasó
- El 21 de octubre de 2026, el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas de ejecución remota de código.
- Una, CVE-2026-109618, corrompe memoria cuando una solicitud llega al límite de memoria en el momento equivocado; en Apache con mod_php un atacante sin autenticación puede activarla antes de que corra el código de la aplicación. La otra, CVE-2026-109619, reutiliza memoria de una solicitud anterior tras un error fatal.
- La Fundación PHP dice que la primera señal del problema de memoria apareció en 2024, durante una auditoría externa. La corrección se estancó por meses.
- En 2026 la firma Calif, el equipo de Wiz y OpenAI reportaron por separado vectores de ataque. Según TechCrunch, usaron modelos de IA para encontrar las fallas.
Por qué importa
- PHP corre una parte enorme de la web, incluido WordPress. Quien tenga un sitio en versiones sin soporte, 8.1 o anteriores, debe actualizar a una rama vigente y no solo aplicar el parche.
- La Fundación llama «fallo estructural» a su demora: una decisión por consenso, sin recursos, paralizó la corrección hasta que los reportes de Calif, OpenAI y Wiz mostraron el impacto completo. La IA no creó la falla: aceleró que alguien la tomara en serio.
- Para proveedores de hosting y pymes chilenas con sitios en PHP, la fecha límite es ahora: el parche ya es público y el atacante puede compararlo con la versión anterior.
El dato
15 CVE publicados por el equipo de seguridad de PHP desde el 1 de julio, por el aumento de reportes asistidos con IA.
Contexto
Calif empezó una auditoría de PHP el 30 de julio de 2026 dentro del programa «Patch the Planet» de OpenAI. El 11 de agosto reportó una ejecución remota sin condiciones con la misma raíz que el problema de 2024. Wiz aportó vectores el 24 de agosto y OpenAI el 18 de septiembre. La Fundación creó en mayo un equipo de seguridad del ecosistema.
Qué viene
- Actualizar a PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama en uso.
- La Fundación pide apoyo sostenido a las organizaciones que dependen de PHP para mantener el trabajo de seguridad.
Cierre
El año de fallas críticas que obligan a parchar rápido suma otros casos: SGLang expuso ejecución remota de código sin clave, UpGuard halló 16.326 bases de Supabase abiertas y operadores de ransomware explotan una falla de GlobalProtect.
Fuentes
- The PHP Foundation — Today’s PHP Security Release, and How We’re Strengthening PHP Security (21 de octubre de 2026)
- PHP.net — PHP 8.5.12 Release Announcement
- TechCrunch — PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet (21 de octubre de 2026; fuente del uso de IA en el hallazgo)
- Imagen de portada: lmonk72, CC0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
