PHP: Cuando la seguridad del internet se ve afectada

Por Víctor M Aviña Alva

Introducción: Una semana agitada para la web

Tijuana BC 28 de octubre del 2026.- Quizá nunca has escuchado hablar de PHP, pero es muy probable que lo uses todos los días sin saberlo. Es el lenguaje de programación que hace funcionar una enorme cantidad de páginas web, desde blogs y tiendas en línea hasta sitios de gobierno. Por eso, cuando el 21 de octubre de 2026 se anunciaron dos fallas graves en PHP, encontradas con ayuda de inteligencia artificial, medio internet se puso en alerta. Te explico qué pasó, por qué importa y qué puedes hacer.

PHP, el motor que no se ve

PHP trabaja detrás de escena: Cuando entras a una página, se encarga de armar lo que ves, consultar bases de datos y procesar formularios. Según Cloudflare, casi el 70 % de los sitios web lo utilizan, y es la base de plataformas tan populares como WordPress y Magento (Sky News, 2026). En otras palabras, un problema en PHP no afecta a una sola página, sino potencialmente a millones.

Qué fue lo que pasó

El equipo de PHP publicó actualizaciones de emergencia para corregir dos vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una calificación de 9.2 sobre 10 en la escala de gravedad CVSS (Sky News, 2026). En términos sencillos, estas fallas podrían permitir que un atacante ejecute sus propias instrucciones en el servidor que aloja una página, es decir, tomar el control de la “computadora” donde vive el sitio (ABC News, 2026).

La reacción fue inmediata. La División Cibernética del FBI pidió actualizar de inmediato las instalaciones afectadas, y el Centro Nacional de Ciberseguridad del Reino Unido hizo un llamado similar (ABC News, 2026). Incluso algunas instituciones, como la Oficina de Responsabilidad Presupuestaria británica, prefirieron desconectar temporalmente sus sitios mientras aplicaban los parches (Sky News, 2026).

La inteligencia artificial, detective de errores

Lo más llamativo de esta historia es cómo se descubrieron las fallas. La empresa de ciberseguridad Wiz explicó que utilizó su herramienta autónoma de investigación Wiz Atlas junto con modelos de Google y OpenAI, y que coordinó el hallazgo con el equipo de PHP y con la firma Calif (ARY News, 2026). Por su parte, OpenAI informó que Calif identificó una de las fallas usando su modelo GPT-5.6 Sol dentro de un programa llamado Patch the Planet (PPC Land, 2026).

Esto marca un cambio importante. Tareas de revisión que antes requerían meses de trabajo humano ahora pueden hacerse mucho más rápido. La buena noticia es que, en este caso, los investigadores encontraron el problema y prepararon la solución antes de hacerlo público. La parte preocupante es que la misma tecnología también puede ayudar a los atacantes: Una vez que se publica un parche, la IA puede estudiarlo para reproducir el ataque con mayor facilidad (Sky News, 2026).

El problema de las versiones viejas

Las correcciones oficiales llegaron para PHP 8.2, 8.3, 8.4 y 8.5 (Rescana, 2026). Sin embargo, muchos sitios todavía usan versiones antiguas, como PHP 7.4, 8.0 u 8.1, que ya no reciben actualizaciones oficiales. Para ellas, el equipo de PHP solo publicó correcciones mínimas en código fuente, no versiones completas (JustGeek, 2026). Además, PHP 8.2 dejará de recibir soporte el 31 de diciembre de 2026, así que conviene pensar en actualizar a una versión más reciente.

Qué puedes hacer tú

Si solo navegas por internet, no necesitas hacer nada especial más allá de mantener tus contraseñas seguras. Pero si tienes un blog, una tienda en línea o la página de tu negocio, vale la pena que contactes a tu proveedor de hospedaje para confirmar que ya aplicaron la actualización, revises qué versión de PHP usa tu sitio y mantengas al día tus plugins y temas.

Finalizando: Una alarma que deja lecciones

Este episodio demuestra lo frágil e interconectado que es internet: Una sola pieza de software puede poner en riesgo a millones de sitios. También deja claro que la inteligencia artificial ya es una herramienta poderosa para encontrar errores, para bien y para mal. La mejor defensa sigue siendo la más sencilla: Actualizar a tiempo y no dejar que tu sitio funcione con software viejo.