Robo de información confidencial, incluidos datos personales y financieros.
Instalación de software malicioso en servidores vulnerables.
Compromiso de servicios web que dependen de PHP para procesar operaciones.
Las vulnerabilidades estaban ocultas desde hace más de una década y ya existen actualizaciones para corregirlas.
Claude Duet: qué puede hacer el nuevo agente de IA de Anthropic
Robo de información confidencial, incluidos datos personales y financieros.
Instalación de software malicioso en servidores vulnerables.
Compromiso de servicios web que dependen de PHP para procesar operaciones.
PHP, un lenguaje de programación utilizado por cerca del 70% de los sitios web, quedó bajo alerta tras el descubrimiento de dos vulnerabilidades críticas mediante inteligencia artificial. OpenAI, Wiz y la startup de ciberseguridad Calif participaron en la investigación.
Las fallas podrían permitir que ciberdelincuentes instalen programas maliciosos en servidores vulnerables o accedan a información confidencial.
PHP cumple funciones esenciales en el funcionamiento de numerosos sitios web. A diferencia de HTML y CSS, que definen la estructura y la apariencia visual de una página, permite ejecutar procesos internos como verificar el inicio de sesión de los usuarios y procesar pagos en línea.
Por eso, una falla en este lenguaje puede comprometer tanto los servidores como los datos que administran. Entre los riesgos identificados se encuentran:
OpenAI calificó el caso como uno de los problemas de seguridad más importantes de los últimos tiempos. Por su parte, investigadores de Wiz describieron los hallazgos como algunas de las vulnerabilidades más graves detectadas en PHP y posiblemente en la historia del software.
Los investigadores de OpenAI, Calif y Wiz atribuyeron el hallazgo al uso combinado de los modelos de inteligencia artificial GPT-5.6 Sol, de OpenAI, y Gemini 4 Argon, de Google. Según los especialistas, las vulnerabilidades llevaban más de una década en el código de PHP.
El principal avance fue simplificar procedimientos complejos que requerían conocimientos técnicos avanzados para demostrar que las fallas podían aprovecharse en un ataque. Wiz denominó «php2shell» a los métodos de ataque desarrollados con ayuda de IA para explotar los problemas detectados.
Hasta el momento no se habían registrado ataques que aprovecharan estas vulnerabilidades. Sin embargo, la posibilidad de convertir fallas ocultas durante años en métodos de ataque refuerza la preocupación por el uso de IA en ciberseguridad.
El equipo de desarrollo y seguridad de PHP publicó el 21 de octubre nuevas versiones con las correcciones. Las actualizaciones están disponibles en el sitio oficial de PHP.
Cloudflare también implementó medidas de protección en su firewall de aplicaciones web (WAF), que permite detectar y bloquear solicitudes maliciosas antes de que lleguen a los servidores. No obstante, esa protección adicional no reemplaza la actualización de PHP, necesaria para corregir las vulnerabilidades de origen.
El FBI de Estados Unidos y el GCHQ del Reino Unido recomendaron instalar los parches cuanto antes. Además, algunos gobiernos europeos optaron por desactivar temporalmente sus sitios mientras aplicaban las actualizaciones.
