Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Un fallo en PHP bastó para sacar de la red a servicios públicos de cinco países europeos. El 21 de octubre, España, Francia, Dinamarca, Finlandia y Países Bajos desconectaron páginas estatales de seguridad, educación y Administración tras la publicación de parches para las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, dos errores que permiten ejecución remota de código sin iniciar sesión.
La escala del problema se entiende mejor con una cifra incómoda. PHP está presente en el 69,3% de las webs y WordPress alimenta casi el 40% de todas, de modo que un fallo en esa base no golpea a un rincón de internet, sino a una parte sustancial de la red pública y privada.
España afrontó el fallo con cerca de un millón y medio de dominios expuestos
En España, el INCIBE-CERT publicó un aviso de seguridad el mismo 21 de octubre. El organismo calcula que, de los dos millones de dominios .es activos, cerca de un millón y medio usan PHP.
"España no va a estar más afectada ni menos que otros países" - INCIBE-CERT
La frase rebaja la tentación de leer el episodio como una anomalía local. Aun así, el volumen de sitios potencialmente alcanzados explica por qué la reacción incluyó desconexiones preventivas en servicios públicos.
"Un día más en el mundo de la ciberseguridad" - INCIBE-CERT
Suena casi rutinario, pero la rutina aquí tiene un matiz áspero. Cuando una tecnología tan extendida concentra un error explotable sin credenciales, la normalidad consiste precisamente en actuar deprisa.
El código vulnerable llevaba ahí desde 2012
Sansec sitúa el origen del código vulnerable en PHP 5.4, lanzado en 2012.
Ryan Austin, investigador de Calif, reconstruyó el camino hasta el fallo a partir de un error de memoria reportado a PHP en 2020 y detectado en una auditoría externa de 2024. A veces una vulnerabilidad no nace el día en que se descubre, sino años antes, escondida en una pieza de software que millones de servidores ejecutan sin hacer ruido.
Amazon Threat Intelligence detectó en una red de servidores trampa un intento de explotar PHP2Shell antes de que la información se hiciera pública.
La IA ya busca estos fallos con una velocidad que cambia el tablero
OpenAI financia a investigadores para encontrar vulnerabilidades mediante Patch the Planet. En ese programa, Wiz utilizó los modelos GPT-5.6 Sol y Gemini 4 Argon para demostrar ejecución remota de código en WordPress, Drupal y Joomla.
Calif amplió después la lista de sitios vulnerables a Magento, MediaWiki, Nextcloud y phpMyAdmin. La fotografía final no se limita a un gestor de contenidos concreto, sino que alcanza a varias piezas habituales de la infraestructura web.
Ese uso ofensivo controlado de modelos enlaza con otras pruebas recientes sobre detección masiva de fallos, donde la automatización ya no acelera solo el análisis, también ensancha el radio de búsqueda.
Anthropic presentó Mythos dentro del Proyecto Glasswing e identificó miles de vulnerabilidades en sistemas operativos y navegadores como OpenBSD y FFmpg. Mozilla afirmó que ese modelo está siendo de gran ayuda para parchear errores críticos que no habían visto.
OpenAI sostiene además que GPT-6 Astra alcanza el 100% en el examen ExploitBench, frente al 78,5% de GPT-5.6 Sol.
La carrera ya no consiste solo en parchear, también en llegar antes
La escena tiene algo de persecución a contrarreloj. Mientras unos modelos ayudan a descubrir y corregir grietas, otros equipos miden cuánto tardan en convertirlas en una puerta abierta sobre WordPress, Drupal, Joomla o fallos críticos en Firefox.
El dato más inquietante quizá no sea que el parche llegara el 21 de octubre, sino que Amazon Threat Intelligence ya había visto un intento de explotación antes de la divulgación pública. Cuando eso ocurre en una tecnología que usa el 69,3% de las webs, unas horas dejan de parecer poco tiempo.