Si tenés una tienda online, el sitio de tu estudio o un blog en WordPress, probablemente corra sobre PHP. Esta semana se hizo pública una falla que está en PHP mismo, no en tu sitio ni en tus plugins, y por eso conviene entenderla.
Qué pasó
El 21 de octubre, el proyecto PHP publicó un aviso de seguridad: las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos vulnerabilidades críticas, registradas como CVE-2026-109618 y CVE-2026-109619. Con ellas, alguien desde afuera podría hacer que un servidor ejecute órdenes sin usuario ni contraseña. El aviso aclara que no hay una mitigación completa: lo único seguro es actualizar.
Quienes lo encontraron fueron equipos que trabajaron con modelos de IA. Wiz, una empresa de seguridad que hoy es parte de Google Cloud, lo descubrió con Gemini 4 Argon y GPT-5.6 Sol, un modelo de OpenAI. Calif, otro equipo, llegó a lo mismo por separado. OpenAI coordinó la respuesta con los mantenedores de PHP y otras empresas durante dos meses, y Wiz cuenta que demostró el ataque contra WordPress, Drupal y Joomla. Según Wiz, una sola persona hizo en una semana lo que antes le habría llevado meses a un equipo de primera línea.
Las fallas son de memoria: PHP deja "restos" de una tarea mal cerrada (como una mesa sin levantar) y el pedido siguiente los usa como si estuvieran bien. Según Wiz, además de ejecutar órdenes, un atacante podía leer datos que pasaron por el servidor, como contraseñas o claves.
Por qué importa
Wiz estima que PHP está detrás del 70% de los sitios web (es una cifra suya) y que toda versión de la última década tiene al menos una de las dos fallas, hasta PHP 5.4. No significa que 7 de cada 10 sitios estén hackeados, sino que, sin actualizar, están expuestos.
Qué podés hacer
Esto es lo que nosotros haríamos, no un consejo técnico a medida:
- Preguntale a quien mantiene tu sitio, o a tu hosting, qué versión de PHP corre y si ya es una de las corregidas.
- Los plugins no arreglan esto: hay que actualizar PHP en el servidor.
- PHP avisa que las versiones 8.1 y anteriores ya no reciben actualizaciones del proyecto; algunos proveedores dan parches propios. Pedile al tuyo que lo confirme por escrito.
- Si hay dudas, cambiá claves y contraseñas del sitio como precaución.
OpenAI publicó además un verificador de versiones de PHP, pensado para quienes administran servidores.
La lectura Birria
Hace tres semanas contamos que Google daba su mejor modelo, Gemini 4 Argon, primero a equipos de ciberseguridad "para que los que defienden lleguen antes que los que atacan". Esta es la primera prueba concreta que vemos: según Wiz, Argon ayudó a encontrar la falla, desarrollar el ataque y validar el arreglo, y OpenAI dice que, hasta donde sabe, la IA la encontró antes que los atacantes. Una "ventana" a favor de los defensores.
Dos cuidados: Wiz y OpenAI venden defensa, así que son parte interesada, y el aviso de PHP no habla del 70%. Y una pregunta incómoda: si la IA abarata encontrar estas fallas para quien defiende, también lo hace para quien ataca. ¿Cuánto dura la ventana?
Si querés profundizar
Esta nota es parte del newsletter de Comunidad Birria del 28 de octubre de 2026. Si querés recibirlo cada semana, sumate acá: quiero recibirlo.
También en esta edición: Si un agente de IA se equivoca con tu plata, ¿quién responde?