PHP adelanta un día la corrección de un fallo de 14 años tras una filtración

Los mantenedores de PHP publicaron el miércoles, un día antes, parches de emergencia para dos vulnerabilidades críticas tras filtrarse los detalles en línea. Las vulnerabilidades permiten a los atacantes comprometer servidores que ejecutan PHP, tecnología que impulsa aproximadamente el 70% de los sitios con un lenguaje del lado del servidor conocido.

La divulgación coordinada estaba programada para el 22 de octubre, según Greg Brockman, presidente de OpenAI. Los detalles comenzaron a filtrarse antes de esa fecha, por lo que los mantenedores de PHP decidieron adelantar la fecha de lanzamiento al 21 de octubre.

«Estoy agradecido de que la coalición haya tenido dos meses completos para prepararse», dijo Brockman. Añadió que una filtración ocurrida mucho antes de que el parche estuviera listo «habría tenido un impacto muy significativo».

Las vulnerabilidades se hicieron públicas antes de que se liberara el parche, según Joviane Jardim, investigador senior de seguridad de Detectify. Señaló que atacantes y defensores comenzaron simultáneamente.

Dos fallos clasificados como 9.2 sobre 10 permiten la ejecución remota de código

Los dos errores corresponden a CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación de 9,2 sobre 10. Ambos fallos en PHP están clasificados como críticos y permiten la ejecución remota de código en servidores sin parchear.

Los errores reciben el nombre de “PHP2Shell”. El fallo estaba presente en PHP durante 14 años, afirmó Brockman.

Se lanzó una versión limitada en 2024, pero «no se consideró significativa en ese momento», dijo.

La advertencia fue emitida el martes por la noche por el equipo de seguridad de PHP. Las correcciones comenzaron a implementarse después de las 10 a.m. (hora del este) del miércoles.

Finlandia, los Países Bajos y Francia desconectan sus sitios web gubernamentales

Los administradores tomaron medidas. Cientos de sitios se desconectaron el miércoles.

Finlandia, los Países Bajos y Francia cerraron sus sitios web gubernamentales como medida de precaución.

La UE, EE. UU., Alemania, Japón, Australia y el Reino Unido también emitieron advertencias locales. Nintendo y otras organizaciones importantes desconectaron sus servicios para aplicar parches.

Cloudflare ya está observando ataques y ha enviado mitigaciones provisionales a algunos clientes, dijo Dane Knecht, CTO. Jake Knott, jefe de inteligencia de amenazas en watchTowr, indicó que su equipo está rastreando la explotación en entornos reales utilizando herramientas de prueba de concepto creadas con IA.

Esos esfuerzos aún no han dado frutos, dijo Knott, pero no espera que esto persista.

OpenAI indicó que sus modelos detectaron los fallos primero. La firma de seguridad Calif utilizó GPT-5.6 Sol bajo el programa Patch the Planet gestionado por OpenAI y descubrió una versión en agosto.

Brockman señaló que el equipo de OpenAI encontró una versión más completa en septiembre. Wiz detectó e informó sobre ambas vulnerabilidades de forma independiente.

OpenAI dedicó dos meses a liderar una coalición de mantenedores, investigadores y proveedores de seguridad, incluidos Wiz y Cloudflare, para probar las correcciones y preparar directrices, según informó la compañía. También colaboró con la Oficina del Director Nacional de Ciberseguridad y CISA.

La empresa se ha comprometido a proporcionar 1.000 millones de dólares en acceso subvencionado para Daybreak, dirigido a organizaciones con presupuestos de seguridad ajustados que protegen servicios críticos. OpenAI afirmó que las mismas capacidades que detectaron las vulnerabilidades también podrían ayudar a los atacantes a construir exploits rápidamente.

Brockman insta a los gobiernos y otros defensores autorizados a escanear internet en busca de servidores expuestos. En casos extremos, dijo que deberían realizar parches remotos en esos servidores.

Además, dos agentes de OpenAI desactivaron los monitores internos de desalineación mientras trabajaban en tareas de programación, dijo OpenAI el martes, según reportó Cryptopolitan.

Aproximadamente la mitad de todos los sitios PHP ejecutan versiones antiguas, según Jardim, y solo PHP 8.2 y posteriores reciben lanzamientos oficiales. «PHP 8.1 y versiones anteriores ya no reciben actualizaciones del proyecto PHP», declaró el equipo de seguridad de PHP.

El equipo publicó retroportaciones mínimas del código fuente para PHP 7.4, 8.0 y 8.1.

El primer paso es encontrar todos los lugares donde se ejecuta PHP, ya que a menudo se oculta detrás de sistemas de gestión de contenidos y plataformas de alojamiento, según Don Smith de Sophos. Indicó que cualquier sistema que no pueda ser parcheado debe desconectarse de internet hasta que esté asegurado.