La National Security Agency advirtió el miércoles que se encontraron dos vulnerabilidades críticas en PHP, el lenguaje de programación del lado del servidor que sostiene una gran parte de la web. La PHP Foundation ya publicó parches. El consejo de la agencia fue contundente: si un sitio no puede parchearse de inmediato, debe desconectarse hasta que pueda hacerse.

PHP impulsa aproximadamente el 70 por ciento de los sitios web, según cifras citadas en la información, que según algunas fuentes equivalen a más de 33 millones de sitios. También potencia sistemas de gestión de contenido populares como WordPress. Las fallas permiten a los atacantes acceder al sistema de archivos del servidor o a una base de datos que la aplicación web pueda utilizar.

¿Qué versiones de PHP están afectadas por las fallas?

Los errores no son nuevos. Han estado presentes en todas las versiones de PHP desde la versión 5, lanzada en 2004. Los sitios que utilizan versiones más antiguas son los que enfrentan el mayor trabajo. PHP 8.1 y las versiones anteriores ya no tienen soporte, y el paso recomendado es actualizar a la versión actual, 8.5.12.

¿Cómo se encontraron las fallas de PHP con IA?

Lo nuevo es cómo se encontraron las fallas. Las herramientas de IA desempeñaron un papel central. Calif, una empresa de pruebas de seguridad, participó en la iniciativa “Patch the Planet” de OpenAI, que busca fallas en el software de código abierto. Usando GPT-5.6 Sol, la firma encontró una de las fallas, según indicó OpenAI en una publicación de blog.

Por separado, el equipo de Wiz utilizó su agente de IA de seguridad Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol para encontrar múltiples vulnerabilidades en PHP. Tanto OpenAI como Wiz siguieron prácticas responsables de investigación en seguridad, trabajando con PHP en los parches antes de hacer públicas las fallas. Luego, los grupos probaron las correcciones junto con un grupo más amplio de empresas. Wiz agradeció a Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel por su ayuda.

WordPress señaló que la falla no es específica de su software. Los sitios que usan su sistema de gestión de contenido aún deben parchear sus servidores y trabajar con sus proveedores de alojamiento web para asegurarse de estar protegidos.

OpenAI afirmó que los investigadores encontraron las fallas antes que los hackers, por lo que no hay reportes de explotación en el mundo real. Parte de la razón, según la compañía, es que antes de la IA, las fallas eran demasiado difíciles de explotar para los atacantes. Wiz fue directa sobre lo que ha cambiado. “Con la IA esto ya no es una barrera”, escribió la compañía en su publicación de blog. “Los LLM pueden ayudar a adaptar un exploit a diferentes versiones de PHP, configuraciones y distribuciones de memoria.”

¿Por qué estas fallas de PHP necesitan parchearse de inmediato?

Ese es el problema de doble filo. La IA ayudó a encontrar y prevenir las fallas, pero también las hace más peligrosas. Ahora que el problema se ha divulgado, los atacantes saben dónde buscar. La carrera está en marcha para parchear decenas de millones de sitios web antes de que los hackers lleguen a los que siguen expuestos. Esa es la razón detrás de la recomendación de la NSA, y deja a los operadores de sitios con poco margen para esperar.

Este artículo fue escrito con la asistencia de IA.
News Factory APP - noticias agénticas para impulsar tu SEO y AEO.