PHP corrige dos fallas críticas halladas con ayuda de IA: qué riesgo hay para tus criptos
PHP corrigió dos fallas críticas que permiten tomar servidores web; una se halló con IA de OpenAI. Qué deben hacer usuarios cripto y dueños de sitios.
Lo esencial
- PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos fallas críticas (CVSS v4 9,2) que permiten ejecutar código remoto sin autenticación.
- Calif halló una de ellas con el modelo GPT-5.6 Sol de OpenAI, dentro de Patch the Planet; Wiz también descubrió ambas de forma independiente.
- Cloudflare dice ver los primeros ataques y PHP afirma que actualizar es la única opción segura; las ramas 8.1 y anteriores no tienen soporte oficial.
- Para usuarios cripto, el riesgo es que sitios legítimos comprometidos muestren falsos avisos de "conectar billetera" o drainers: conviene revisar cada firma.
El proyecto PHP publicó el 21 de octubre las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas que permiten ejecutar código de forma remota sin autenticación, según su aviso de seguridad oficial. Las fallas, apodadas “php2shell”, fueron detectadas en parte con ayuda de un modelo de OpenAI, y para quienes usan criptomonedas el riesgo está en lo que un atacante podría inyectar en sitios legítimos.
Las vulnerabilidades son la CVE-2026-109618 y la CVE-2026-109619. El equipo de seguridad de PHP las calificó con 9,2 sobre 10 en la escala CVSS v4.0, en el anuncio previo del 20 de octubre. Los primeros reportes hablaban de 10,0, según Tenable.
Qué pasó
PHP había anunciado una publicación de emergencia, fuera de su calendario habitual, para el 21 de octubre a las 14:00 UTC. Según Huntress, detalles de las fallas se filtraron en internet el 20 de octubre, antes de la divulgación coordinada y antes de que existieran parches.
El aviso de PHP es directo: “No hay mitigaciones completas; actualizar es la única opción segura”. Joe Ferguson, responsable de la versión 8.6 de PHP, lo resumió así sobre los ajustes de configuración: “las opciones de ini no te van a salvar”, según Tenable.
A quién afecta
- Casi cualquier servidor web con PHP: PHP señala en riesgo “todas las instalaciones de PHP que atienden solicitudes web”, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Considera mayor el riesgo en mod_php, donde existe un exploit demostrado. Sansec también advierte que tanto mod_php como PHP-FPM están afectados.
- Versiones antiguas: los reportes previos al aviso apuntaban a PHP 5.4 en adelante. Las ramas 8.1 y anteriores ya no reciben soporte, aunque PHP publicó parches mínimos de código fuente para 7.4, 8.0 y 8.1 en GitHub, según LinuxCompatible.
- WordPress, tiendas y foros: PHP se usa en el 69,3% de los sitios cuyo lenguaje de servidor se conoce, según datos de W3Techs citados por Tenable. Todo sitio WordPress corre sobre PHP, recuerda Wordify.
¿Ya se está explotando?
Dane Knecht, director de tecnología de Cloudflare, dijo que la empresa está “viendo surgir los primeros ataques”, según Tenable. La firma watchTowr afirmó haber reproducido la CVE-2026-109618 en laboratorio. Circula código que dice explotar las fallas, pero Tenable no verificó que funcione y advierte que puede traer malware. Huntress, por su parte, no había detectado explotación entre sus clientes a las 10:00 (hora del este de EE. UU.) del 21 de octubre.
El papel de la IA
OpenAI explicó en su blog que la firma Calif identificó una de las fallas usando su modelo GPT-5.6 Sol, dentro de su iniciativa Patch the Planet, y que Wiz también descubrió y reportó ambas vulnerabilidades de forma independiente. Según la empresa, los mantenedores de PHP lideraron las correcciones, con apoyo de Cloudflare y otros socios. OpenAI añadió que estas fallas están “entre varias vulnerabilidades importantes” que ya encontró y trabaja en corregir.
Por qué importa si usas criptomonedas
La red de Bitcoin o Ethereum no depende de PHP. El riesgo está en los sitios: un atacante que toma control de un servidor puede cambiar lo que ven sus visitantes. En la práctica, eso permitiría insertar en una página legítima un falso botón de “conectar billetera”, un wallet drainer o un formulario de phishing. Un medio cripto, el blog de un exchange o el sitio de un proyecto de tokens podrían servir de vitrina sin que su dueño lo sepa. Ninguna de las fuentes consultadas reporta sitios cripto comprometidos por estas fallas.
Si eres usuario
- Desconfía de las firmas: en los próximos días, revisa con calma cada aprobación o firma que te pida tu billetera, incluso en sitios que conoces.
- Usa una billetera física y lee en su pantalla lo que vas a firmar.
- Verifica la URL y entra desde marcadores guardados, no desde anuncios o enlaces recibidos.
- Revoca aprobaciones que ya no uses con herramientas como Revoke.cash.
Si tienes un sitio web
- Actualiza PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o a los paquetes corregidos de tu distribución.
- Pregunta a tu proveedor de hosting cuándo aplicará el parche si no administras el servidor.
- Usa el WAF como paliativo: Cloudflare desplegó reglas temporales, pero solo protegen el tráfico que pasa por su red, según Tenable.
- Busca señales de intrusión: Huntress recomienda revisar webshells, tareas cron y cuentas nuevas, y procesos de PHP que lancen consolas o herramientas de descarga.
Te puede interesar: el caso del agente de IA de OpenAI y una billetera ajena, y cómo proteger tus cripto.
Preguntas frecuentes
¿Mis criptomonedas están en riesgo por esta falla?
No por la blockchain, sino por los sitios que visitas. Un sitio comprometido podría pedirte firmas maliciosas, por lo que conviene revisar cada aprobación.
¿Basta con cambiar la configuración de PHP?
No. PHP afirma que no hay mitigaciones completas y que actualizar es la única opción segura.
Fuentes consultadas el 21 de octubre de 2026: PHP, OpenAI, Tenable, Huntress, Sansec, LinuxCompatible y Wordify. Este contenido es informativo y no es una recomendación de inversión ni de seguridad profesional.
Recibe las noticias antes que nadie