PHP Tiene Dos Vulnerabilidades Críticas. La NSA Dice: Parchea o Desconecta.

El 21 de octubre de 2026, el equipo de PHP publicó una actualización de seguridad crítica: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Corrigen dos vulnerabilidades de ejecución remota de código (RCE, la capacidad de un atacante de correr comandos arbitrarios en tu servidor) con la puntuación más alta posible en la práctica: CVSS v4.0 9.2 sobre 10. El parche de Drupal del 14 de octubre ya había puesto a prueba los reflejos de muchos equipos. Esto es otra categoría de urgencia.

No es una falla de un módulo o de un paquete de terceros. Es el lenguaje que ejecuta, según cifras citadas por OpenAI, un estimado 70% de los sitios web del mundo. Y según la propia advertencia de PHP, no existe forma de blindarse sin actualizar.

Qué se rompió, en términos de negocio#

Las dos fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, comparten un rasgo: permiten a un atacante sin autenticar ejecutar código en tu servidor antes de que tu aplicación llegue a procesar la petición. No importa qué tan bien hayas escrito tu código de negocio, qué tan robusta sea tu capa de autenticación o cuántas revisiones de seguridad haya pasado tu aplicación. El problema vive por debajo de todo eso, en el propio intérprete de PHP.

• CVE-2026-109618: corrupción de memoria durante el manejo de situaciones de falta de memoria (out-of-memory). El impacto es peor en configuraciones mod_php (PHP corriendo directamente dentro del proceso del servidor web Apache), y se puede disparar con una sola petición no autenticada, antes de que el código de la aplicación entre en juego.
• CVE-2026-109619: estado residual de una petición anterior que sobrevive entre peticiones en el mismo worker (proceso que atiende solicitudes), permitiendo que datos de un usuario "contaminen" la ejecución del siguiente.

Las advisories técnicas están publicadas como GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp. El propio equipo de PHP fue inusualmente directo en su comunicado: "no hay mitigaciones completas, actualizar es la única opción segura".

Por qué esta vez es distinto: IA en ambos lados#

Estas vulnerabilidades no fueron encontradas por el método tradicional de auditoría manual de código. Fueron descubiertas por sistemas de IA agentiva operando como investigadores de seguridad: modelos de OpenAI dentro de su iniciativa "Patch the Planet" y, de forma independiente, el agente de seguridad Wiz Atlas de Wiz. Según Wiz, el hallazgo fue posible precisamente porque la IA bajó la barrera técnica para explotar fallas que antes eran demasiado complejas de aprovechar manualmente.

"LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts"

Es la misma lógica que ya cubrimos cuando Microsoft advirtió sobre agentes de IA como amenaza interna: la IA no es buena o mala en sí misma, es un multiplicador de capacidad — tanto para quien defiende como para quien ataca. OpenAI lo resume como una "ventana del defensor" (Defender's Window): a su entender, la IA de frontera encontró estas vulnerabilidades antes que los atacantes, abriendo una ventana para que mantenedores y proveedores de seguridad prepararan protecciones antes de la divulgación. Esa ventana ya se cerró. La falla es pública, el parche es público, y ahora la carrera es contra atacantes que también tienen acceso a los mismos modelos.

El impacto real ya se sintió fuera del mundo PHP puro: medios reportaron que sitios gubernamentales en distintos países quedaron fuera de línea mientras los equipos corrían a parchear.

mod_php vs FPM: no toda la exposición es igual#

El fabricante es explícito: el impacto de CVE-2026-109618 es peor en configuraciones mod_php, donde PHP corre embebido directamente en el proceso del servidor Apache. En ese modelo, un worker comprometido comparte memoria y contexto con el propio servidor web. Las instalaciones sobre PHP-FPM (FastCGI Process Manager, un modelo donde PHP corre en procesos separados que el servidor web invoca) tienen una superficie de ataque distinta — no inmune, pero con un radio de explosión potencialmente más contenido.

Para un equipo de infraestructura, esto cambia la prioridad de parcheo dentro de la misma flota: los servidores mod_php (comunes en instalaciones heredadas de WordPress y configuraciones legacy de Apache) suben al tope de la lista, por encima de las instancias ya migradas a FPM con nginx.

Mitigaciones parciales — y por qué no bastan#

El equipo de PHP y la comunidad han documentado algunas configuraciones que reducen el riesgo mientras se despliega el parche, pero ninguna cierra la falla por completo:

• session.upload_progress.enabled=0 en php.ini o en el pool de FPM — reduce la superficie expuesta en el manejo de subidas de archivos.
• fatal_error_backtraces=0 en instalaciones de PHP 8.5 — limita la información expuesta durante errores fatales.
• memory_limit=-1 combinado con un post_max_size bajo — evita ciertos escenarios de agotamiento de memoria que disparan la condición vulnerable.
• Evitar RLIMIT_AS o RLIMIT_DATA como mecanismo de límite de memoria a nivel de sistema operativo — estos límites pueden en realidad favorecer el escenario de corrupción que explota la falla.

El problema que nadie quiere nombrar: PHP 8.1 y versiones EOL#

Aquí está el dato que convierte esto de incidente técnico en riesgo de gobernanza: PHP 8.1 y versiones anteriores ya no reciben soporte oficial, y solo obtendrán backports de proveedores comerciales, si es que los obtienen. TechCrunch confirma que las instalaciones que no corren versiones relativamente actuales de PHP tendrán trabajo adicional de actualización pendiente, dado que las ramas más antiguas están fuera de soporte.

Y hay un segundo reloj corriendo en paralelo: PHP 8.2 llega a su propio fin de vida (EOL) el 31 de diciembre de 2026. Cualquier plan de remediación de esta crisis que solo mueva una flota de 8.1 a 8.2 está resolviendo un problema de 2026 para heredar el mismo problema en diez semanas.

Drupal, WordPress y Laravel: la exposición no es del framework#

Un punto que vale la pena aclarar para quien gestiona un CMS o framework encima de PHP: esta no es una falla de Drupal, WordPress ni Laravel. Es una falla del intérprete que los ejecuta a todos por igual. WordPress emitió un comunicado aclarando que el problema no es específico de su CMS, y que los sitios que lo corren deben parchear a nivel de servidor y coordinarse con su proveedor de hosting. Drupal emitió su propia alerta (PSA-2026-10-20) reforzando el mismo mensaje: actualizar a una versión de PHP que incluya el parche de estas vulnerabilidades es la única mitigación completa.

Esto es relevante porque muchos equipos de aplicación asumen —razonablemente— que la seguridad de su stack es responsabilidad de su proveedor de hosting o de su equipo de infraestructura. En una crisis de este tipo, esa frontera de responsabilidad se vuelve el punto ciego exacto donde un sitio queda expuesto durante semanas.

Cómo auditar una flota empresarial en 48 horas#

Para una organización con múltiples propiedades web, entornos y proveedores de hosting, la pregunta no es "¿actualizamos?" sino "¿sabemos exactamente qué estamos corriendo, dónde?". Un plan de auditoría razonable incluye:

• Inventario de versión real de PHP en cada entorno de producción, staging y desarrollo — no la versión documentada, la versión que realmente corre php -v en cada servidor.
• Clasificación por modo de ejecución: mod_php versus PHP-FPM, dado el mayor impacto documentado en instalaciones mod_php.
• Identificación de cualquier instancia sobre PHP 8.1 o anterior, que requiere un plan de migración separado y más urgente, no solo un parche.
• Verificación de que AWS Elastic Beanstalk, contenedores Docker o AMIs personalizadas usan la imagen base actualizada, no una versión congelada desde antes del 21 de octubre.
• Confirmación con cada proveedor de hosting o CDN sobre su cronograma de parcheo, en particular si el hosting es gestionado por terceros.

Equipos que ya operan con Infrastructure as Code sobre AWS tienen una ventaja real aquí: una definición declarativa de la imagen base permite confirmar y desplegar la versión parcheada en todo el fleet de forma auditable, en lugar de depender de que cada servidor se actualice manualmente.

El riesgo ya no es técnico. Es de directorio.#

Cuando la NSA recomienda públicamente desconectar sistemas en lugar de dejarlos expuestos, el umbral de la conversación cambió. Ya no es una tarea de la cola de DevOps. Es una decisión que un comité de riesgo, un CISO o un consejo directivo necesita poder responder con precisión: ¿qué versión de PHP corre cada propiedad digital de la empresa, quién es responsable de actualizarla, y cuánto tiempo de exposición aceptamos mientras se despliega?

Mantener una aplicación crítica sobre una versión de PHP fuera de soporte —algo común en sistemas heredados de Drupal o WordPress construidos hace años— ya no es una deuda técnica abstracta. Es un riesgo cuantificable, con un CVSS de 9.2 y una agencia de inteligencia nacional recomendando desconexión. Resolverlo de forma duradera no es solo aplicar el parche de esta semana: es tener un equipo con la experiencia operativa para mantener la flota actualizada, auditada y fuera de versiones EOL de manera continua — exactamente el tipo de trabajo que separa un parche de emergencia de una infraestructura que no vuelve a estar en esta posición.