OpenAI Identifica Vulnerabilidades Críticas en PHP y Urge a Actualizaciones Inmediatas para Operadores Web
El 21 de octubre de 2026, OpenAI anunció el descubrimiento de dos vulnerabilidades críticas en el motor PHP, identificadas como CVE-2026-109618 y CVE-2026-109619. Estos fallos, que recibieron una puntuación CVSS de 9.2, podrían permitir a los atacantes ejecutar código de forma remota en servidores sin necesidad de autenticación.
Las vulnerabilidades se originan en problemas de seguridad de memoria en PHP, afectando versiones desde la 5.4.0. Esto significa que un número significativo de sitios web, estimado en un 70%, podría estar en riesgo, incluyendo plataformas populares como WordPress y Drupal. Los fallos permiten el acceso no autorizado a datos sensibles y la posible ejecución de comandos maliciosos.
OpenAI colaboró con investigadores de Calif y Wiz para identificar estas vulnerabilidades, que fueron verificadas de manera independiente en WordPress y Drupal en agosto de 2026. Los hallazgos formaron parte de la iniciativa Patch the Planet de OpenAI, que busca utilizar la inteligencia artificial para identificar fallos de seguridad antes de que puedan ser explotados.
En respuesta a las vulnerabilidades, los mantenedores de PHP han lanzado parches para las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Junto con la divulgación, OpenAI presentó una herramienta llamada php2shell-checker, que permite a los operadores de sitios evaluar su vulnerabilidad sin enviar tráfico de explotación.
Se aconseja encarecidamente a los operadores de sitios web que verifiquen sus versiones de PHP y actualicen a las versiones parcheadas para evitar posibles incidentes de seguridad que podrían socavar la confianza de los usuarios y llevar a pérdidas financieras significativas.
Actualizado 17:32 UTC
Nuevos Hechos sobre Vulnerabilidades de PHP
El 21 de octubre, PHP lanzó correcciones de emergencia para dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619. Estas vulnerabilidades permiten a atacantes no autenticados ejecutar código en servidores web.
El aviso de seguridad del equipo de PHP destacó la urgencia de estas actualizaciones, tras una advertencia anticipada emitida el 20 de octubre. Ambas vulnerabilidades han recibido una puntuación de severidad crítica en CVSS v4.0, lo que llevó a ejecutivos de seguridad criptográfica a instar a los operadores web a parchear sus sistemas y revisar cualquier infraestructura pasada por alto.
FAQ
¿Cuáles son las vulnerabilidades críticas identificadas en PHP?
OpenAI identificó dos vulnerabilidades críticas en el motor PHP, rastreadas como CVE-2026-109618 y CVE-2026-109619, que podrían permitir a los atacantes ejecutar código de forma remota en servidores sin autenticación.
¿Cuál es la puntuación CVSS de estas vulnerabilidades?
Las vulnerabilidades recibieron una puntuación CVSS de 9.2, lo que indica un alto nivel de severidad.
¿Qué versiones de PHP están afectadas por estas vulnerabilidades?
Las vulnerabilidades afectan a las versiones de PHP desde la 5.4.0, poniendo en riesgo a un número significativo de sitios web.
¿Qué deben hacer los operadores de sitios web en respuesta a estas vulnerabilidades?
Se aconseja encarecidamente a los operadores de sitios web que verifiquen sus versiones de PHP y actualicen a las versiones corregidas (8.2.35, 8.3.36, 8.4.27 y 8.5.12) para evitar posibles incidentes de seguridad.
¿Qué herramienta ha introducido OpenAI para ayudar a evaluar la vulnerabilidad?
OpenAI introdujo una herramienta llamada php2shell-checker, que permite a los operadores de sitios evaluar su vulnerabilidad sin enviar tráfico de explotación.
Comentarios
Los comentarios se moderan antes de publicarse.
Aún no hay comentarios — sé el primero.