El FBI insta a parchear de inmediato fallos en PHP hallados por IA

Gobiernos y empresas pasaron la semana parcheando dos fallos críticos en PHP, el lenguaje de programación que sustenta hasta el 70% de los sitios web. Los investigadores encontraron los fallos mediante inteligencia artificial, y los intentos de explotarlos aumentaron drásticamente después de que los detalles se filtraran en línea. Algunos profesionales de la ciberseguridad han comenzado a llamar a este momento "Octubre Negro", informó CNBC.cnbc.com

Los errores se rastrean como CVE-2026-109618 y CVE-2026-109619 y se conocen colectivamente como "PHP2Shell". Pueden permitir que los atacantes ejecuten código en un servidor sin iniciar sesión. PHP lanzó correcciones el 21 de octubre para las versiones 8.2 a 8.5, informó Newsweek. En un aviso público emitido el viernes, el FBI dijo que "las actualizaciones de seguridad están disponibles y deben aplicarse de inmediato".time.com+1

Advertencias e interrupciones

La NSA, el FBI y CISA instaron a las organizaciones el miércoles a parchear de inmediato y a desconectar los sistemas si no podían hacerlo, informó Nextgov. "Estas vulnerabilidades a menudo proporcionan una ruta directa al sistema de archivos o a la base de datos del servidor", escribió la NSA, según The Hill.nextgov.com+1

Sitios web gubernamentales en Gran Bretaña, Finlandia y Japón tuvieron interrupciones o servicio limitado mientras se realizaban los trabajos, informó AP. En Nueva York, el condado de Broome desconectó su sitio web el viernes "por precaución". El ejecutivo del condado, Jason Garnar, no dijo cuándo volvería a estar en línea, informó WSKG.wskg.org+1

Cómo se encontraron los fallos

Wiz es una firma de seguridad propiedad de Google Alphabet Inc. ↘ 1.08%. En agosto, el investigador de Wiz, Sagi Tzadik, pidió a un agente de IA que adaptara un exploit de WordPress para Drupal. El agente falló en esa tarea, pero descubrió un fallo de PHP que había pasado desapercibido durante más de una década, informó TIME. Por separado, la firma Calif, trabajando con OpenAI, encontró un error relacionado. Un grupo de unas 15 personas trabajó entonces en conjunto para crear una solución.time.com

La noticia de los fallos se difundió dos días antes de la fecha prevista para el parche, por lo que los mantenedores de PHP lanzaron la corrección un día antes. Horas después, Calif publicó por error un video de su exploit. Cloudflare ↗ 7.29% contó decenas de miles de intentos de explotación en los 45 minutos posteriores al anuncio público y, finalmente, millones, según TIME. La Fundación PHP dijo que el problema se conocía al menos desde 2024 y calificó el retraso como "un fallo estructural", informó AP.apnews.com+1

Consejos para los usuarios

Los expertos dicen que la mayor parte del trabajo recae en las empresas que operan los sitios web, pero los individuos aún pueden protegerse. Dan Guido, de Trail of Bits, recomendó que las personas "activen las actualizaciones automáticas para su teléfono, computadora y enrutador doméstico". Otros aconsejaron usar autenticación multifactor y una contraseña diferente para cada sitio, informó Samaa TV. "No puedes parchear el sitio web de tu hospital", dijo Guido.samaa.tv

El ex director de CISA, Chris Krebs, instó a las empresas más pequeñas a buscar vulnerabilidades "constantemente" y a aplicar parches lo más rápido posible. "Esta es una semana o dos significativas en la ciberseguridad", dijo a CNBC.cnbc.com