Dos vulnerabilidades críticas del lenguaje PHP, registradas como CVE-2026-109618 y CVE-2026-109619, se publicaron el 21 de octubre de 2026 tras ser identificadas con apoyo de modelos avanzados de inteligencia artificial. En las horas siguientes se registraron millones de intentos de explotación, de acuerdo con la telemetría de Cloudflare.

El caso reordena una discusión que la industria arrastraba desde hace años. Wired reportó esta semana que las fallas vivieron más de una década en el núcleo de PHP: en 2024 el equipo del lenguaje detectó un problema de memoria, pero lo consideró demasiado complejo de explotar. Investigadores de la firma Calif, con herramientas de OpenAI, y después del equipo de Wiz, con modelos de Google, construyeron una ruta práctica de ataque. La Fundación PHP señaló que no ha confirmado explotaciones exitosas. El patrón importa para México y América Latina porque PHP sostiene una parte amplia de los sitios web del mundo, y con ellos portales públicos, sistemas municipales y plataformas de trámites que comparten el mismo reloj de parches.

La escala del fenómeno quedó registrada en dos mediciones. The Register documentó que Amazon detectó un intento de explotación el 17 de octubre, cuatro días antes de los parches, y que Cloudflare contabilizó decenas de miles de intentos en los primeros 45 minutos y millones al 22 de octubre. Ambas fallas tienen una severidad de 9.2 y permiten ejecución remota de código sin autenticación; afectan a todo servidor web con PHP 5.4 o posterior, según Cloudflare, y se corrigieron en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La misma empresa advirtió que actualizar el código del sitio o sus complementos no resuelve el problema: el parche vive en el intérprete y exige reiniciar los procesos.

El frente abierto está en las versiones sin mantenimiento. PHP 8.1 y anteriores no reciben parche oficial, y Cloudflare reportó que un CVE adicional, el 2026-115560, afecta incluso a las versiones ya corregidas y se atenderá en el siguiente lanzamiento regular del lenguaje. Para las organizaciones que operan PHP, la fecha de corte deja de ser el día del anuncio: Amazon recomienda revisar actividad sospechosa al menos desde el 17 de octubre.

Esta nota fue redactada con asistencia de inteligencia artificial a partir de fuentes verificadas y revisada por un editor humano antes de publicarse.