La Fundación PHP admite que la corrección de las fallas críticas se demoró desde 2024

La Fundación PHP, responsable del desarrollo del lenguaje, publicó este miércoles los parches para las dos vulnerabilidades críticas que permiten ejecutar código en servidores sin autenticación. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. En su comunicado, la entidad instó a actualizar: "Si usted usa PHP es imperativo que actualice ahora".

El texto reconoce que la solución venía demorada desde 2024. Ese año, en la primera auditoría externa de seguridad de PHP en varios años, realizada por Quarkslab, apareció un primer indicio de un problema de agotamiento de memoria. Según el comunicado, el equipo de seguridad "temía las repercusiones de publicar una solución equivocada" y tenía numerosas responsabilidades, por lo que el trabajo en una solución "se estancara y se retomara repetidamente durante meses". La entidad lo definió como una "falla estructural" de su proceso de decisión y de sus recursos.

En 2026, la Fundación creó un equipo de seguridad más amplio, con nuevos expertos, y empezó a analizar el código con herramientas de inteligencia artificial, entre ellas Claude Mythos, de Anthropic, y Daybreak Red, de OpenAI. Según la entidad, en julio la firma Calif comenzó una auditoría de PHP y un investigador reportó una ejecución remota de código con la misma causa raíz del problema de 2024. Desde el 11 de agosto, corregirlo fue la "máxima prioridad". Después llegaron otros vectores de ataque: los reportó Wiz el 24 de agosto y OpenAI el 18 de septiembre.

Wiz, propiedad de Google, llegó a la misma falla de forma independiente, semanas después de Calif. En su blog, la compañía explicó que la falla había permanecido oculta por la complejidad técnica del ataque. Según Wiz, "Los modelos de IA de vanguardia redujeron sustancialmente esa barrera, y convirtieron una falla de larga data en un exploit". Sus especialistas compararon la magnitud del hallazgo con la de Heartbleed, el fallo de 2014 que afectó a una tecnología de cifrado usada por dos tercios de la web.

OpenAI sostuvo: "Hasta donde sabemos, la IA de vanguardia encontró estas vulnerabilidades antes de que lo hicieran los atacantes". La compañía también advirtió que las mismas capacidades pueden ayudar a los atacantes a desarrollar exploits. Cynthia Kaiser, exfuncionaria del FBI que hoy trabaja en la empresa Halcyon, resumió: "Con la IA, aplicar parches ahora es una emergencia".

La Fundación también lamentó las filtraciones. El 20 de octubre empezaron a circular los identificadores de las vulnerabilidades, y Calif publicó por error un video con su prueba de concepto. La entidad acusó además a la firma Chainguard de romper de forma unilateral el embargo, mientras otros usuarios "seguían esperando" la publicación del parche.

La Fundación cerró su mensaje pidiendo financiamiento sostenido a las empresas de alojamiento, las plataformas de nube y los gobiernos que dependen de PHP. Sostuvo que la IA permite encontrar fallas más rápido, pero no reemplaza a los "ingenieros experimentados". OpenAI, por su parte, reclamó también más financiamiento y recursos para los defensores.