El equipo de desarrollo del lenguaje de programación PHP anunció el lanzamiento de actualizaciones de seguridad de emergencia para abordar dos vulnerabilidades clasificadas como "críticas", las cuales obtuvieron una calificación de gravedad de 9.2 sobre 10. Estas vulnerabilidades permiten a los atacantes ejecutar código malicioso de forma remota sin necesidad de autenticación, otorgándoles la capacidad de tomar el control total de los servidores afectados.
Detalles de las vulnerabilidades y versiones afectadas
Estas vulnerabilidades afectan especialmente a los servidores que utilizan configuraciones de mod_php dentro de servidores Apache. Las actualizaciones que abordan estos riesgos incluyen las siguientes versiones de PHP: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El equipo de desarrollo insta a todos los administradores de sistemas a actualizar sus servidores de inmediato.
Asimismo, se advirtió que las versiones de PHP 8.1 y anteriores ya no reciben soporte oficial, lo que deja a sus usuarios expuestos a riesgos; por lo tanto, se recomienda migrar a las versiones con soporte o adquirir parches de seguridad a través de proveedores de software.
El papel de la inteligencia artificial en el descubrimiento
La empresa Wiz Research, especializada en ciberseguridad, reveló que el descubrimiento de estas complejas vulnerabilidades en el código fuente de PHP se realizó con la ayuda de modelos avanzados de inteligencia artificial, específicamente Gemini 4 Argon y GPT-5.6 Sol. El modelo Gemini 4 Argon desempeñó un papel fundamental en el análisis del código y la verificación de la validez de los parches de seguridad, lo que destaca la importancia de la inteligencia artificial en el fortalecimiento de la seguridad de la infraestructura de software de código abierto.
¿Por qué se retrasó la solución?
El equipo de desarrollo de PHP admitió la existencia de un "fallo estructural" que retrasó la solución de una de las vulnerabilidades, cuyos primeros indicios se detectaron en 2024. El equipo explicó que la falta de recursos y las disputas técnicas obstaculizaron la solución en aquel momento. Sin embargo, las revisiones de seguridad realizadas bajo el programa "Patch the Planet" de OpenAI en agosto y septiembre pasados contribuyeron a proporcionar pruebas concretas sobre cómo explotar la vulnerabilidad, lo que impulsó al equipo a acelerar el ritmo de reparación tras la filtración de información sobre las vulnerabilidades en las redes sociales.