Aunque PHP no es un nombre familiar para la mayoría de los usuarios, forma parte de la infraestructura que permite funcionar a una enorme cantidad de páginas web. Este lenguaje de programación está detrás de plataformas tan extendidas como WordPress y de numerosos sistemas que gestionan contenidos, tiendas digitales y servicios en internet. Por eso, el descubrimiento de dos vulnerabilidades críticas en su núcleo ha activado las alertas de ciberseguridad y ha obligado a administradores y organizaciones a revisar sus sistemas con urgencia.
El caso ha adquirido especial relevancia por la participación de la inteligencia artificial en la investigación. OpenAI ha explicado que su modelo GPT-5.6 Sol ayudó a identificar uno de los fallos dentro de la iniciativa de ciberseguridad Patch the Planet. La empresa especializada Wiz también descubrió y comunicó las vulnerabilidades de manera independiente. Tras coordinar la respuesta con los responsables de PHP y otros colaboradores, el equipo de desarrollo publicó las actualizaciones de seguridad el 21 de octubre.
Qué es PHP y por qué importa tanto para internet
PHP es un lenguaje de programación que se ejecuta principalmente en los servidores. Cuando una persona entra en una página web, este software puede encargarse de procesar una petición, consultar una base de datos, gestionar una sesión o preparar el contenido que finalmente aparece en el navegador. El usuario no suele verlo, pero puede estar trabajando detrás de la página que tiene abierta.
Su popularidad explica la dimensión del problema. PHP se utiliza en una proporción cercana al 70% de los sitios web, según las estimaciones difundidas por investigadores de seguridad. Uno de los ejemplos más conocidos es WordPress, el sistema de gestión de contenidos con el que funcionan innumerables medios de comunicación, blogs y páginas corporativas. También existen otras plataformas y aplicaciones desarrolladas con este lenguaje.
Eso no significa que siete de cada diez webs hayan sido atacadas ni que todas estén necesariamente expuestas. El riesgo depende de la versión instalada, la configuración del servidor y la aplicación concreta. Sin embargo, cuando se descubre un fallo en un componente tan extendido, la cantidad de sistemas que deben comprobar si están protegidos puede ser enorme.
Dos vulnerabilidades que pueden dar acceso al servidor
Los fallos identificados afectan a la gestión interna de la memoria de PHP y han recibido una puntuación de 9,2 sobre 10 en la escala CVSS 4.0, que mide la gravedad de las vulnerabilidades informáticas. El peligro principal es que pueden permitir la ejecución remota de código sin que el atacante tenga que iniciar sesión previamente.
¿Qué significa esto en la práctica? Un servidor vulnerable podría llegar a ejecutar instrucciones enviadas desde fuera por una persona malintencionada. Según las circunstancias y los permisos disponibles, esto podría facilitar el acceso a información confidencial, la manipulación de una página web o un compromiso más amplio del sistema.
Los dos problemas se han registrado con los identificadores CVE-2026-109618 y CVE-2026-109619. No se trata de un fallo exclusivo de WordPress ni de una vulnerabilidad que afecte únicamente al diseño de una página: el problema se encuentra en el propio motor de PHP. Por eso, corregirlo puede requerir una actualización del entorno en el que funciona la web, no simplemente instalar un complemento o cambiar una contraseña.
Cómo ha ayudado la inteligencia artificial a detectar el problema
La intervención de la IA es uno de los aspectos más destacados del caso. Según OpenAI, el modelo GPT-5.6 Sol permitió a los investigadores identificar una vulnerabilidad crítica durante un trabajo de análisis de seguridad. Wiz, por su parte, comunicó de forma independiente ambos fallos. La respuesta posterior implicó a los responsables del lenguaje, investigadores y proveedores de infraestructura, que prepararon las correcciones antes de divulgar públicamente los detalles técnicos.
Este proceso resulta importante porque encontrar una vulnerabilidad no consiste únicamente en detectar una línea de código sospechosa. Los investigadores deben entender cómo se comporta el software, comprobar si el error puede explotarse, determinar sus posibles consecuencias y colaborar con los desarrolladores para corregirlo sin provocar nuevos problemas.
La inteligencia artificial puede acelerar parte de ese trabajo, ayudando a examinar código y a localizar comportamientos anómalos que podrían pasar inadvertidos. Pero no sustituye todo el proceso: en este caso, la investigación, la coordinación con los responsables de PHP y la publicación de los parches fueron fundamentales para reducir el riesgo.
Por qué algunas webs dejaron de funcionar temporalmente
Ante un fallo que podría permitir tomar el control de un servidor, mantener una web conectada sin haber aplicado las protecciones necesarias puede suponer un riesgo. Por ese motivo, algunas organizaciones y servicios públicos optaron por desconectar temporalmente sus páginas mientras evaluaban la exposición y preparaban las actualizaciones. La medida busca impedir que un sistema vulnerable siga accesible desde internet durante una situación de incertidumbre.
No todas las organizaciones tienen la misma capacidad para reaccionar. Las grandes empresas pueden contar con equipos especializados en seguridad, mientras que una pequeña web puede depender de un proveedor de alojamiento que gestione las actualizaciones. Además, comprobar qué versión está instalada y aplicar un parche puede requerir pruebas previas para evitar interrupciones o incompatibilidades.
La alerta también refleja una dificultad habitual en la ciberseguridad: publicar una corrección no garantiza que todos los sistemas la instalen inmediatamente. El riesgo persiste en aquellos servidores que siguen utilizando versiones vulnerables, especialmente si están expuestos a peticiones procedentes de internet.
Qué deben hacer las webs afectadas
El equipo de PHP ha publicado versiones corregidas para las ramas 8.5, 8.4, 8.3 y 8.2. En concreto, las actualizaciones de seguridad son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los administradores deben comprobar qué versión utilizan y aplicar la actualización correspondiente siguiendo las indicaciones oficiales y las de su proveedor de alojamiento.
Para quienes tienen una página web sin gestionar directamente el servidor, lo recomendable es consultar con la empresa de hosting o con el responsable técnico para confirmar si la instalación está afectada y si ya se han aplicado las medidas necesarias. Cambiar la contraseña de acceso, por sí solo, no corrige una vulnerabilidad de este tipo.
El episodio deja una conclusión que va más allá de PHP. La inteligencia artificial está ampliando las posibilidades de quienes buscan fallos de seguridad, pero detectar el problema es solo una parte de la respuesta. La protección depende también de que los desarrolladores publiquen soluciones y de que los responsables de los sistemas las instalen a tiempo. En una red tan interconectada como internet, la rapidez con la que se corrige una vulnerabilidad puede marcar la diferencia.
