PHP corrige dos vulnerabilidades críticas de ejecución remota de código detectadas con modelos de IA de frontera

El proyecto PHP publicó PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026. Estas versiones de seguridad corrigen dos vulnerabilidades críticas que pueden permitir la ejecución remota de código sin autenticación y que se detectaron con modelos de IA de frontera. En la divulgación coordinada participaron el proyecto PHP, OpenAI, la empresa de investigación de seguridad Calif y la empresa de seguridad en la nube Wiz.

Las versiones corregidas

El aviso de seguridad del proyecto PHP indica que las cuatro versiones corrigen CVE-2026-109618, descrita como ejecución remota de código mediante corrupción por agotamiento de memoria, y CVE-2026-109619, descrita como ejecución remota de código mediante un estado global obsoleto. El 20 de octubre de 2026, el equipo de seguridad de PHP emitió un aviso previo en el que asignó a ambas vulnerabilidades una puntuación CVSS v4.0 de 9.2 y fijó la publicación para el 21 de octubre a las 14:00 UTC.

Según el aviso, todas las instalaciones de PHP que atienden solicitudes web están en riesgo, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo se considera más alto en mod_php, donde un exploit demostrado puede activarse mediante una solicitud sin autenticar antes de que se ejecute cualquier código de la aplicación.

El proyecto señala que no existen mitigaciones completas y que actualizar es la única opción segura, aunque enumera ajustes provisionales que reducen la exposición a determinadas vías de ataque. Las distribuciones de Linux y los proveedores de versiones LTS recibieron los parches por adelantado. El equipo de seguridad de PHP también proporcionó adaptaciones mínimas de los parches al código fuente para PHP 7.4, 8.0 y 8.1, que ya no reciben actualizaciones, y señaló que PHP 8.2 llegará al final de su ciclo de vida el 31 de diciembre de 2026.

Las vulnerabilidades y el exploit Php2shell

La divulgación técnica de Wiz Research describe CVE-2026-109618 como una vulnerabilidad que comprende un uso después de liberar en el deserializador del progreso de carga y la divulgación remota de la memoria de procesos; y CVE-2026-109619 como una vulnerabilidad que comprende un uso después de liberar en el seguimiento de pila de errores fatales y una confusión de tipos en OPcache. Todas son deficiencias de seguridad de memoria derivadas de la forma en que PHP gestiona los errores fatales, en particular los errores por agotamiento de memoria, mientras procesa solicitudes.

Wiz afirmó que todas las versiones de PHP publicadas en la última década están afectadas por al menos una de las vulnerabilidades, desde la versión 5.4 en adelante. Calif informó que la vía afectada más antigua que encontró se remonta a PHP 5.4.0 y que las vías de explotación, que dependen de la versión de PHP y de la SAPI, siempre se pueden explotar con las configuraciones predeterminadas.

Wiz combinó las vulnerabilidades en un único script de explotación llamado php2shell y demostró la ejecución remota de código sin autenticación contra las imágenes de contenedor más recientes de WordPress, Drupal y Joomla. Por separado, demostró que era posible divulgar, independientemente de la aplicación, la memoria de los procesos de trabajo de PHP, que puede contener contraseñas, tokens de autenticación, claves de API y certificados. El informe de Calif confirma la ejecución remota de código antes de la autenticación en WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 y WHMCS, así como en scripts PHP arbitrarios en algunos casos.

Wiz señala que PHP impulsa el 70 % de todos los sitios web, incluidos los de WordPress, Joomla, Drupal y MediaWiki, de Wikipedia, y sitúa estos hallazgos entre las vulnerabilidades más graves descubiertas en PHP.

Cómo detectaron las vulnerabilidades los modelos de IA de frontera

OpenAI afirmó que durante los últimos dos meses lideró una coalición de responsables de mantenimiento, investigadores y proveedores de seguridad para abordar las vulnerabilidades. Calif identificó una vulnerabilidad crítica con su modelo GPT-5.6 Sol como parte de la iniciativa Patch the Planet de OpenAI, mientras que Wiz descubrió y notificó ambas vulnerabilidades de forma independiente. Los responsables del mantenimiento de PHP lideraron las correcciones y la publicación de las versiones.

Las cronologías de los participantes muestran que se produjeron descubrimientos independientes y coincidentes. La Fundación PHP registra que Calif inició su auditoría el 30 de julio de 2026 y que el investigador de Calif Ryan A notificó una ejecución remota de código incondicional el 11 de agosto de 2026; ese mismo día, OpenAI informó de forma independiente sobre la misma causa raíz. Calif fecha su descubrimiento el 1 de agosto de 2026, la entrega a PHP de una prueba de concepto de ejecución remota de código el 14 de agosto de 2026, la confirmación de PHP el 15 de agosto de 2026 y la notificación de un segundo error el 21 de agosto de 2026.

Wiz informa que descubrió la primera vulnerabilidad el 19 de agosto de 2026 usando Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol; confirmó la ejecución de código sin autenticación en Drupal el 20 de agosto de 2026 y en WordPress el 21 de agosto, y notificó las vulnerabilidades al equipo de seguridad de PHP el 24 de agosto de 2026. Según la Fundación, OpenAI añadió otras vías de ataque el 18 de septiembre de 2026 y PHP reconoció las notificaciones y comenzó a desarrollar una corrección coordinada el 21 de septiembre de 2026, según Wiz.

La debilidad subyacente tiene una larga historia. Calif cuenta que Stefan Esser encontró en 2004 la primera vulnerabilidad remota de PHP relacionada con el límite de memoria; que en 2020 se notificó al proyecto un error que describía una condición de agotamiento de memoria; y que una auditoría realizada en 2024 por OSTIF y Quarkslab volvió a detectar el problema, pero no demostró que pudiera explotarse. La Fundación PHP escribió que la auditoría de 2024 fue financiada por Sovereign Tech Agency y que el trabajo para corregir el problema se estancó y se reanudó repetidamente a lo largo de varios meses: «No vamos a fingir lo contrario: el retraso fue un fallo estructural».

OpenAI afirmó que, dada la gravedad de las vulnerabilidades y el uso generalizado de PHP, considera que este es uno de los problemas de seguridad más importantes de los últimos tiempos. También señaló que, hasta donde sabe, la IA de frontera detectó las vulnerabilidades antes que los atacantes, lo que abrió lo que denomina una «ventana para los defensores». La compañía se comprometió a proporcionar 1.000 millones de dólares en acceso subvencionado a Daybreak para los defensores de primera línea y publicó un verificador de versiones de PHP como habilidad de Codex en el repositorio de GitHub openai/php2shell-checker.

Una divulgación filtrada y un embargo roto

La Fundación PHP informa que la divulgación coordinada se mantuvo en secreto hasta dos días antes de la fecha prevista para el lanzamiento. Alrededor de las 15:00 UTC del 20 de octubre de 2026, los dos identificadores CVE empezaron a circular en foros en línea y redes sociales, acompañados de una hora de lanzamiento incorrecta y una puntuación CVSS errónea de 10.0, aunque no se filtraron detalles técnicos. El proyecto PHP adelantó el preanuncio a las 19:30 UTC de ese mismo día y cambió la fecha del lanzamiento del 22 de octubre de 2026 al 21 de octubre de 2026 a las 14:00 UTC, alegando que los distribuidores aún estaban empaquetando la corrección.

Alrededor de las 20:00 UTC del 20 de octubre, Calif publicó por error un video que mostraba su prueba de concepto funcionando contra varios objetivos. Según la Fundación, se difundieron copias del video, lo que contribuyó a acelerar el desarrollo de varios exploits de prueba de concepto el 21 de octubre. La Fundación informa que, a las 07:41 UTC del 21 de octubre, más de seis horas antes del lanzamiento coordinado, Chainguard rompió unilateralmente el embargo y publicó imágenes ya compiladas que contenían la corrección. El equipo de seguridad de PHP supervisó las pruebas de concepto que aparecieron tras la filtración, pero no detectó ningún exploit funcional en el momento del lanzamiento y la divulgación pública.

Coordinación gubernamental y un marco propuesto

OpenAI afirmó que colaboró con sus socios para implicar a varios sectores del gobierno de Estados Unidos, entre ellos la Fuerza de Superinteligencia de la Casa Blanca, la Oficina del Director Nacional de Ciberseguridad y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras, así como a socios internacionales, con el fin de ayudar a que las directrices de seguridad llegaran a organizaciones críticas. Wiz dijo que, antes de la divulgación pública, se había asociado con Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel y otras empresas para preparar directrices para los clientes, mecanismos de detección y medidas de mitigación listas para usar destinadas a organizaciones que no pueden actualizar de inmediato.

OpenAI también publicó un marco propuesto de cinco etapas para responder a vulnerabilidades críticas en software de uso generalizado: validar y corregir la vulnerabilidad en el proyecto de origen, dar tiempo a las organizaciones afectadas para actuar, coordinarse con socios gubernamentales, preparar actualizaciones para los productos afectados y publicar directrices cuando haya un parche disponible. La compañía pidió a la comunidad de seguridad que opinara sobre el enfoque.

La Fundación PHP, que creó un Equipo de Seguridad del Ecosistema en mayo de 2026 y contrató a Alexandre Daubois en julio de 2026 y a Daniel Scherzer en septiembre de 2026, dijo que el equipo ha publicado 15 CVE desde el 1 de julio de 2026 y ha revisado más de 100 informes que resultaron ser inválidos, duplicados o imposibles de reproducir. La Fundación pidió patrocinio a empresas, proveedores de alojamiento, plataformas en la nube, distribuciones y gobiernos cuyos servicios funcionan con PHP.