Imagen simbólicaMillones de intentos de explotación tras los fallos de PHP hallados por IA, y muchos sitios vuelven a funcionar
Dos fallos críticos de PHP, encontrados con herramientas de IA, obligaron el miércoles a administraciones y empresas a retirar sitios web. Cloudflare informa de millones de intentos de explotación, aunque muchos sitios ya han vuelto.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619 y apodados «PHP2Shell», permiten a un atacante ejecutar código en un servidor sin iniciar sesión; el equipo de seguridad de PHP puntúa ambos con 9,2 sobre 10. Los desarrolladores de PHP publicaron una corrección el miércoles 21 de octubre, después de que la BSI alemana y la NSA estadounidense instaran a los operadores a parchear o desconectar. El director de Cloudflare, Matthew Prince, dijo a Sky News que hubo unos miles de intentos en las diez horas previas al anuncio, cientos de miles dos horas después y millones desde entonces. Muchos sitios han vuelto a estar en línea tras aplicar el parche.
Bancos y aerolíneas afectados en Japón
Nikkei informa de que Sega, All Nippon Airways y el banco MUFG habían suspendido el jueves sitios web o parte de sus servicios en línea.
La IA encadenó debilidades conocidas
Según Handelsblatt, los fallos eran conocidos desde hacía tiempo pero se consideraban no críticos, y la IA permitió encadenarlos en una vía de ataque. Citando al Wall Street Journal, FAZ afirma que un especialista los encontró con un modelo de OpenAI.
Repercusiones en Alemania
Volkswagen desconectó brevemente un portal para concesionarios, según un correo interno al que accedió Handelsblatt. Marc Henrichmann, presidente del órgano de control de los servicios secretos del Bundestag, habló de un «punto de inflexión».