Investigadores de OpenAI, la empresa de ciberseguridad Wiz y la startup Calif han anunciado el hallazgo de dos vulnerabilidades críticas en PHP, el lenguaje de servidor utilizado por cerca del 70% de los sitios web en Internet. Según el reporte publicado el 21 de octubre de 2026, las fallas permitirían ejecutar código de forma remota y podrían facilitar el robo de datos o la instalación de software malicioso en servidores vulnerables.
Descubrimiento mediante modelos de IA y coordinación con autoridades
Los equipos detectaron las vulnerabilidades combinando análisis humanos y herramientas de inteligencia artificial: Forbes señala que los hallazgos provinieron del uso de modelos como GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google, empleados por distintos grupos de investigación. OpenAI, Wiz y Calif realizaron un proceso de coordinación con mantenedores de PHP, Cloudflare y organismos gubernamentales antes de divulgar los detalles públicamente, con la intención de preparar correcciones y mitigaciones.
"Consideramos que este es uno de los problemas de seguridad más importantes de los últimos tiempos", afirmó OpenAI en su comunicación, según recoge Forbes.
Ante la gravedad de las fallas, agencias como el FBI de Estados Unidos y el GCHQ del Reino Unido recomendaron instalar las actualizaciones disponibles lo antes posible. Forbes indica además que varios gobiernos europeos optaron temporalmente por desactivar sus sitios web mientras aplicaban los parches necesarios.
Riesgo y recomendaciones
Forbes explica que PHP, a diferencia de HTML o CSS, ejecuta procesos internos del servidor —como la gestión de sesiones, la autenticación de usuarios o el procesamiento de pagos— por lo que una vulnerabilidad en el lenguaje puede comprometer tanto la información como la operativa de los sitios afectados. Por ello, las fuentes consultadas insisten en la urgencia de aplicar las actualizaciones y parches publicados por los mantenedores de PHP.
- Alcance: PHP está presente en alrededor del 70% de sitios web, según el informe.
- Origen del hallazgo: detección asistida por modelos de IA y verificación por firmas de seguridad.
- Acción recomendada: instalar las actualizaciones y parches publicados por los responsables de PHP de forma inmediata.
Forbes recoge además la advertencia del sector sobre la potencial multiplicación del riesgo: miles de servidores tendrían que actualizarse para cerrar la ventana de exposición que dejan estas vulnerabilidades. Las entidades implicadas han priorizado la coordinación para evitar explotación masiva antes de que las correcciones estuvieran disponibles.
