La falla php2shell y el papel de la IA en la seguridad del código abierto

El 21 de octubre de 2026 el proyecto PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas de ejecución remota de código, bautizadas como «php2shell». Los fallos, registrados como CVE-2026-109618 y CVE-2026-109619 y valorados por el equipo de seguridad con una puntuación CVSS v4.0 de 9,2, consisten en una gestión incorrecta del agotamiento de memoria y en una condición de use-after-free al procesar peticiones web. Según las indicaciones de la CISA, el problema afecta a las configuraciones que sirven tráfico web, mientras que la empresa de seguridad Tenable sitúa el origen del código vulnerable en PHP 5.4.0. La CISA recomienda actualizar cuanto antes, empezando por los sistemas expuestos a internet, y aislar los que no puedan actualizarse o funcionen con PHP 8.1 o anterior, para los que solo existen backports en código fuente para las versiones 7.4, 8.0 y 8.1.

Amazon Threat Intelligence informó de que detectó un intento de explotación en sus honeypots el 17 de octubre, cuatro días antes de la divulgación oficial, y precisó que no está claro cómo obtuvo el atacante la información. El 20 de octubre, hacia las 15:00 UTC, las CVE empezaron a circular en internet con fecha y puntuación erróneas; hacia las 20:00 UTC Calif publicó por error un vídeo con la prueba de concepto, que después retiró. La publicación de los parches se adelantó del 22 al 21 de octubre a las 14:00 UTC; esa misma mañana, a las 07:41 UTC, Chainguard publicó imágenes actualizadas antes de la divulgación formal. Según AWS, los intentos de explotación ya están extendidos, aunque no está claro si habrían tenido éxito en sistemas reales; cuando publicó su alerta, la CISA no había observado explotaciones exitosas.

Según la PHP Foundation, la causa raíz de las vulnerabilidades la notificaron Calif el 11 de agosto, Wiz el 24 de agosto y, de forma independiente, OpenAI el 18 de septiembre. De acuerdo con Fortune, Calif empleó GPT-5.6 Sol, mientras que Wiz utilizó Gemini 4 Argon, GPT-5.6 Sol y su propia herramienta Wiz Atlas. Wiz, en un blog citado por Fortune, habla de un 70 por ciento de internet afectado: una estimación no verificada de forma independiente. Palo Alto Networks, también según Fortune, identificó 22,6 millones de instancias potencialmente vulnerables.

La propia PHP Foundation explica que analizó PHP a principios de 2026 con el modelo Claude Mythos de Anthropic junto con Alpha-Omega, y que usa Daybreak Red de OpenAI para validar informes y exploits. Desde el 1 de julio de 2026 el equipo ha publicado 15 CVE y ha gestionado más de 100 avisos que resultaron no válidos, duplicados o imposibles de reproducir. Como observa la fundación, el auge de la investigación asistida por IA hace que el equipo de seguridad reciba muchos más avisos que antes, mientras que cada decisión y cada parche siguen dependiendo del trabajo directo de personas.

El episodio sugiere que los modelos de lenguaje están haciendo más frecuente el hallazgo de defectos antiguos en el código y, al mismo tiempo, aumentan el volumen de comprobaciones que recae en los mantenedores humanos, responsables últimos de las correcciones.

— Olya