La Fundación PHP publicó los parches PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 que corrigen dos fallas críticas que permiten a un atacante ejecutar código en servidores. El anuncio incluye detalles sobre el proceso de detección y corrección.
La Fundación PHP, desarrolladora del lenguaje de programación, instó este miércoles a utilizar sus parches para corregir dos vulnerabilidades críticas que afectan a servidores que utilizan PHP. Los parches publicados son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Según un comunicado de la entidad, los parches «corrigen dos vulnerabilidades críticas que, bajo las condiciones idóneas, permiten a un atacante sin identificar ejecutar código en los servidores que usan PHP. Si usted usa PHP, es imperativo que actualice ahora».
El texto explica cómo las vulnerabilidades «fueron halladas y corregidas, qué ha cambiado en cómo se gestiona la seguridad de PHP en los dos últimos años, y lo que necesitamos de las organizaciones que dependen de PHP para mantener en marcha la seguridad».
En 2024, PHP fue sometido a su primera auditoría externa de seguridad «en años», realizada por Quarkslab. Durante ese proceso, un desarrollador encontró los primeros indicios de un «problema» cuya resolución se retrasó, según admite la fundación, por una «falla estructural» en su proceso de decisión y sus recursos.
«Para corregir el problema de agotamiento de memoria, el equipo de seguridad de PHP desarrolló varios enfoques alternativos», pero «temía las repercusiones de publicar una solución equivocada» y tenía «numerosas responsabilidades», lo que hizo que el trabajo en una solución «se estancara y se retomara repetidamente durante meses», relató la entidad.
El punto de inflexión llegó en 2026, cuando la Fundación PHP creó un equipo de seguridad más amplio con nuevos expertos y comenzó a trabajar con el proyecto Alpha-Omega para analizar PHP con herramientas de inteligencia artificial como Claude Mythos, de Anthropic, y Daybreak Red, de OpenAI, para «validar reportes y exploits».
En julio, la empresa de seguridad Calif comenzó una auditoría de PHP y un investigador reportó «una ejecución remota de código incondicional con la misma causa raíz que el problema de agotamiento de memoria» detectado en 2024. «OpenAI reportó de forma independiente la misma causa raíz ese mismo día, a lo que siguieron otros vectores de ataque reportados por OpenAI el 18 de septiembre y por Wiz el 24 de agosto», agregó el comunicado. A partir del 11 de agosto, la «máxima prioridad» fue corregir ese problema.
La entidad destacó el crecimiento de la investigación asistida por IA, que ayuda a «validar los reportes y agrupar los que comparten la misma causa raíz», pero reivindicó el componente humano: «Una persona toma cada decisión y trabaja en cada parche».
Asimismo, lamentó que las «filtraciones» complicaron la publicación de los parches, pues el 20 de octubre empezaron a circular los identificadores de las vulnerabilidades, y un error de Calif al «publicar por error un video que mostraba su prueba de concepto». También acusó a la firma de ciberseguridad Chainguard de romper unilateralmente el embargo y permitir que posibles atacantes estudiaran el parche mientras otros usuarios «seguían esperando» a su publicación.
La Fundación PHP concluyó su mensaje con una petición a la financiación sostenida de empresas, proveedores de alojamiento, plataformas de nube y gobiernos que dependen de PHP, explicando que la IA permite hallar fallas más rápidamente pero no sustituye a los «ingenieros experimentados».
OpenAI, por su parte, publicó un blog en el que destaca que coordinó la respuesta internacional para corregir las dos vulnerabilidades críticas de PHP a través de la iniciativa ‘Patch the planet’, y reclamó también una mayor financiación y recursos a los actores del ecosistema de los «defensores».