Los mantenedores de PHP lanzaron parches de emergencia el miércoles, un día antes de lo previsto, después de que se filtraran en línea los detalles de dos vulnerabilidades críticas antes de la fecha de divulgación coordinada. Las fallas permiten a los atacantes comprometer servidores que ejecutan PHP, el lenguaje que impulsa aproximadamente el 70% de los sitios web con un lenguaje del lado del servidor conocido.

La divulgación coordinada estaba programada para el 22 de octubre, según Greg Brockman, presidente de OpenAI, que detalló el esfuerzo en un anuncio de divulgación coordinada. La divulgación coordinada está diseñada para que las correcciones estén listas antes de que los detalles técnicos se hagan públicos, un margen que la filtración anticipada redujo. Con los detalles comenzando a emerger antes de esa fecha, los mantenedores de PHP adelantaron el lanzamiento al 21 de octubre.

"Agradezco que la coalición haya tenido con éxito dos meses completos para prepararse", dijo Brockman en una publicación en X. Una filtración mucho antes de que el parche estuviera listo "habría tenido un impacto muy significativo", agregó.

Las vulnerabilidades se hicieron públicas antes de que los parches estuvieran disponibles, señaló Joviane Jardim, investigadora principal de seguridad en Detectify. Jardim dijo que los atacantes y los defensores prácticamente comenzaron al mismo tiempo.

Dos fallas calificadas con 9.2 sobre 10 permiten la ejecución remota de código

Las fallas, registradas como CVE-2026-109618 y CVE-2026-109619, tienen cada una una puntuación de gravedad de 9.2 sobre 10. Ambas están calificadas como críticas y permiten laución remota de código en servidores sin parchear, es decir, la capacidad de ejecutar comandos arbitrarios en una máquina desde cualquier punto de internet. En conjunto, las fallas han sido denominadas "PHP2Shell".

Brockman dijo que la falla subyacente había estado presente en PHP durante 14 años, una ventana lo suficientemente larga como para anteceder todas las líneas de lanzamiento que actualmente reciben soporte oficial. Una versión limitada salió a la luz en 2024, pero "no se consideró significativa en su momento", afirmó.

El equipo de seguridad de PHP emitió una advertencia el martes por la noche, y las correcciones comenzaron a distribuirse después de las 10 a.m., hora del Este, del miércoles.

Finlandia, los Países Bajos y Francia desconectan sitios web gubernamentales

Los administradores actuaron con rapidez. Cientos de sitios se desconectaron el miércoles, y Finlandia, los Países Bajos y Francia cerraron sus sitios web gubernamentales como precaución, una medida contundente pero efectiva para eliminar la superficie de ataque mientras se actualizan los servidores. La UE, EE. UU., Alemania, Japón, Australia y el Reino Unido también emitieron advertencias locales, mientras que Nintendo y otras organizaciones de gran tamaño desconectaron servicios para aplicar parches.

Cloudflare ya está detectando ataques y ha enviado mitigaciones provisionales a algunos clientes, dijo el director de tecnología Dane Knecht. Jake Knott, jefe de inteligencia de amenazas de watchTowr, dijo que su equipo está rastreando intentos de explotación en la wild utilizando herramientas de prueba de concepto creadas con IA. Esos esfuerzos aún no han dado frutos, dijo Knott, pero no espera que esa situación persista.

OpenAI afirma que sus modelos descubrieron las fallas primero

OpenAI dijo que sus modelos descubrieron las vulnerabilidades. La empresa de seguridad Calif utilizó GPT-5.6 Sol bajo el programa Patch the Planet de OpenAI y encontró una versión de la falla en agosto. Brockman dijo que el propio equipo de OpenAI descubrió una versión más completa en septiembre. La empresa de seguridad en la nube Wiz detectó y reportó ambas fallas de forma independiente.

OpenAI dijo que dedicó dos meses a liderar una coalición de mantenedores, investigadores y proveedores de seguridad, incluidos Wiz y Cloudflare, para probar las correcciones y preparar guías. La empresa también involucró a la Oficina del Director Nacional de Ciberseguridad y a la CISA, y se ha comprometido a proporcionar 1,000 millones de dólares en acceso subsidiado a Daybreak para organizaciones con presupuestos de seguridad ajustados que protegen servicios críticos.

OpenAI reconoció que las mismas capacidades que descubrieron las fallas también podrían ayudar a los atacantes a construir exploits con rapidez. Brockman pidió a los gobiernos y otros defensores autorizados que rastreen internet en busca de servidores expuestos y, en casos extremos, que los actualicen de forma remota.

Por separado, OpenAI informó el martes que dos de sus agentes desactivaron monitores internos de desalineación mientras trabajaban en tareas de programación, según reportó Cryptopolitan.

Aproximadamente la mitad de los sitios PHP ejecutan versiones sin soporte

Alrededor de la mitad de todos los sitios PHP ejecutan versiones anteriores, dijo Jardim, y solo PHP 8.2 y versiones posteriores reciben lanzamientos oficiales. "PHP 8. y versiones anteriores ya no reciben actualizaciones del proyecto PHP", señaló el equipo de seguridad de PHP. El equipo publicó backports mínimos de código fuente para PHP 7.4, 8.0 y 8.1.

Don Smith, de Sophos, dijo que el primer paso para los defensores es identificar todos los lugares donde se ejecuta PHP, ya que con frecuencia se oculta bajo sistemas de gestión de contenidos y plataformas de alojamiento. Cualquier sistema que no pueda actualizarse debe desconectarse de internet hasta que sea protegido, afirmó.