Vulnerabilidades en PHP provocan el Octubre Negro para los equipos de ciberseguridad

Sitios web de gobiernos, fuerzas policiales y otros servicios públicos quedaron fuera de servicio en todo el mundo tras la revelación de dos fallos críticos en PHP. PHP es el lenguaje de programación que sustenta aproximadamente el 70% de los sitios web. Jason Clinton, subdirector de seguridad de la información de Anthropic, advirtió que la interrupción "empeorará mucho antes de mejorar", según Bloomberg. The Wall Street Journal News Corp ↘ 1.37% informó el jueves que los equipos de respuesta a emergencias están bajo una fuerte presión debido a lo que los expertos llaman "Octubre Negro", un mes de amenazas de rápida evolución que muchos en el sector vinculan a los avances en IA.wsj.com+1

Una carrera global por los parches

Los errores, CVE-2026-109618 y CVE-2026-109619, conocidos conjuntamente como PHP2Shell, permiten a los atacantes ejecutar código en un servidor sin necesidad de iniciar sesión, y ambos tienen una puntuación de gravedad de 9.2 sobre 10. Los mantenedores de PHP lanzaron versiones corregidas el miércoles 21 de octubre. Agencias gubernamentales en Europa y otros lugares desconectaron sus sitios como medida de precaución, y Reuters Thomson Reuters Corporation ↗ 1.63% informó que los fallos pasaron desapercibidos durante años hasta que la IA ayudó a descubrirlos.theregister.com+1

Sitios gubernamentales en el Reino Unido, Alemania, Francia, Bélgica, Finlandia, los Países Bajos y Australia estuvieron entre los que se desconectaron antes de aplicar los parches. En Japón, los sistemas que sirven a guarderías también se apagaron, y partes de Wikipedia estuvieron brevemente fuera de servicio, informó NBC News Comcast Corporation ↗ 4.27%. La NSA señaló que las organizaciones que no puedan actualizar de inmediato deben desconectar los sistemas afectados hasta que sean reparados. La Asociación Americana de Hospitales también transmitió la guía del FBI y la NSA a sus miembros. Cloudflare ↘ 9.54% registró millones de intentos de ataque. Los parches solo cubren PHP 8.2 y versiones posteriores, lo que deja a muchos sitios antiguos expuestos.kaspersky.com+5

"Resistir unos 18 meses"

Clinton hizo su advertencia en una publicación en X el 22 de octubre. "Por muy mal que se hayan puesto las cosas en los últimos 4 días, van a empeorar mucho antes de mejorar", escribió. Instó a los líderes de seguridad a pedir ayuda a sus juntas directivas "no para la IA, sino para lo básico", añadiendo: "necesitamos resistir unos 18 meses". En agosto, había predicho que llegaría un "tsunami de vulnerabilidades" antes de que la infraestructura crítica pudiera ser parcheada.indiatoday.in+1

Clinton dice que el alivio vendrá de "vulnzero". En su opinión, los modelos de IA baratos y capaces permitirán eventualmente a los desarrolladores detectar y eliminar errores de seguridad antes de que su código se publique. Los fallos de PHP fueron encontrados con herramientas de IA de OpenAI y Google Alphabet Inc. ↘ 1.45%.yahoo.com+1

Un dilema de doble uso

El pronóstico de Clinton atrajo críticas de personas que argumentan que las empresas de IA están empeorando las ciberamenazas antes de que las defensas estén listas. Cuando un usuario acusó a los laboratorios de IA de "crear este monstruo", Clinton respondió: "Intentamos advertir al mundo".businesstoday.in+1