Dos fallos críticos en PHP: qué hacer en tu sitio hoy mismo
La Fundación PHP publicó parches de emergencia para dos fallos que la inteligencia artificial de OpenAI y Wiz encontró antes que los hackers. Así afecta a tiendas en línea y sitios de WordPress en México.
Qué hacer en los próximos diez minutos si tu sitio corre en PHP
La inteligencia artificial de OpenAI y Wiz encontró dos fallos gravísimos en PHP antes que los hackers. La Fundación PHP ya sacó el parche.
La Fundación PHP sacó parches de emergencia para dos fallos de seguridad calificados casi en el máximo de gravedad, después de que la inteligencia artificial de OpenAI y de la empresa Wiz —propiedad de Google— los encontrara antes que cualquier atacante. Si tu tienda en línea o tu sitio de WordPress corre en un servidor con PHP, lo que hagas en los próximos minutos puede ser la diferencia entre actualizar a tiempo o quedar expuesto.
En resumen
La Fundación PHP ya sacó parches de emergencia para dos fallos críticos que la IA de OpenAI y Wiz halló antes que los hackers, según TechCrunch (21 de octubre de 2026). Afectan todas las versiones de PHP desde 2004 y permiten tomar el servidor sin usuario ni contraseña. La recomendación: actualizar a PHP 8.5.12 ya, o desconectar el sitio.
- Parches de emergencia ya disponibles, no solo un anuncio
- Afecta todas las versiones de PHP desde 2004
- La IA de OpenAI y Wiz los halló antes que los hackers
Qué fallos encontró la IA en PHP
El 21 de octubre de 2026, la Agencia de Seguridad Nacional de Estados Unidos (NSA) advirtió que PHP tenía dos fallos críticos de seguridad, según reportó TechCrunch. La Fundación PHP ya había publicado los parches para corregirlos. Los fallos dejan entrar a un atacante sin necesidad de usuario ni contraseña: le abren la puerta directo al sistema de archivos del servidor o a la base de datos que usa la aplicación web, sin que nadie se dé cuenta.
Según contó The Next Web, quien halló estos fallos fue la empresa de ciberseguridad Wiz —propiedad de Google— usando su propia inteligencia artificial. Antes, la firma Calif ya había encontrado uno de los dos fallos dentro de Patch the Planet, el programa de OpenAI para buscar vulnerabilidades en software de código abierto.
Por qué estos dos fallos son tan graves
Estas dos fallas califican cerca de nueve punto dos sobre diez en gravedad, casi el máximo posible. Llevaban escondidas en PHP desde la versión 5, publicada en 2004, lo que significa más de veinte años sin que nadie las detectara. PHP es el lenguaje detrás de aproximadamente el 70% de los sitios web del mundo —más de 33 millones de sitios, según TechCrunch— y es la base técnica sobre la que corre WordPress.
No es un fallo de WordPress
WordPress publicó un comunicado aclarando que el problema no es específico de su sistema de gestión de contenido: lo que tiene fallos es el lenguaje PHP que corre debajo. Aun así, cualquier sitio hecho con WordPress depende de PHP, así que también necesita el parche. La responsabilidad es de quien administra el servidor —normalmente el proveedor de hosting— trabajando junto con quien administra el sitio.
Qué hacer en los próximos diez minutos
El ángulo que le importa a cualquier negocio con tienda en línea o sitio propio es simple: qué hacer ya. Esto es lo que recomienda revisar en los próximos diez minutos.
Revisa tu versión de PHP
Pide a quien administra tu sitio —tú mismo, tu agencia o tu hosting— que confirme qué versión de PHP corre tu servidor. La recomendación es usar la versión actual, PHP 8.5.12; las versiones 8.1 y anteriores ya no reciben soporte.
Avisa a tu hosting
Si no administras el servidor directamente, contacta a tu proveedor de hosting y pregúntale si ya aplicó el parche de emergencia de la Fundación PHP. La mayoría de los proveedores grandes ya lo están aplicando.
Actualiza y respalda antes de tocar nada
Haz un respaldo completo de tu sitio antes de actualizar, por si algo sale mal. La NSA advirtió que si un sitio no puede parcharse de inmediato, es mejor desconectarlo hasta que esté listo.
Si no puedes actualizar hoy
La NSA fue clara: si tu sitio no puede recibir el parche de inmediato, la recomendación es sacarlo de línea hasta que lo logres. Dejarlo expuesto ahora es más riesgoso que antes, porque el fallo ya es público y, según Wiz, la inteligencia artificial puede ayudar a adaptar un ataque a distintas versiones y configuraciones de PHP.
Qué versiones de PHP están afectadas
Esta tabla resume en qué situación está cada versión de PHP, según lo reportado por TechCrunch.
| Versión de PHP | Estado | Qué hacer |
|---|---|---|
| PHP 5.x a 8.1 | Sin soporte oficial | Actualizar a una versión soportada y aplicar el parche |
| PHP 8.2 a 8.4 | Con soporte, afectada | Aplicar el parche de emergencia de inmediato |
| PHP 8.5 (anterior a 8.5.12) | Afectada | Actualizar a la versión 8.5.12 |
| PHP 8.5.12 | Versión parchada | Mantenerla actualizada y seguir monitoreando |
Quién encontró las fallas y cómo
La empresa de pruebas de seguridad Calif participó en Patch the Planet, la iniciativa de OpenAI para encontrar fallos en software de código abierto. Usando el modelo GPT-5.6 Sol, encontró uno de los dos fallos, según OpenAI publicó en su propio blog.
Por su parte, el equipo de Wiz usó su agente de seguridad Wiz Atlas junto con los modelos Gemini 4 Argon y GPT-5.6 Sol para encontrar varias vulnerabilidades en PHP. OpenAI y Wiz siguieron las prácticas de divulgación responsable: trabajaron con la Fundación PHP en los parches antes de hacer público lo que encontraron, y después colaboraron para probar las correcciones junto con Automattic, Akamai, Amazon Web Services, Cloudflare, Fastly, Imperva, Microsoft y Vercel.
Según TechCrunch, no hubo reportes de estos fallos explotados en la vida real antes del anuncio: la inteligencia artificial los encontró primero. Wiz explicó en su blog que, antes de la IA, estas fallas eran demasiado difíciles de aprovechar para un atacante humano. Con modelos de lenguaje capaces de adaptar un ataque a distintas versiones y configuraciones, esa barrera ya no existe: lo mismo que ayudó a encontrarlas antes que nadie es lo que las vuelve más peligrosas ahora que son públicas.
Qué significa esto para negocios en México y Latinoamérica
Para negocios en México y Latinoamérica, este tipo de noticia suele sentirse lejana hasta que se traduce a lo que realmente corre detrás de una tienda en línea. PHP es la base técnica de WordPress y de WooCommerce, de buena parte de los sitios hechos con temas y plugins sin que nadie revise qué lenguaje corre debajo, y de muchos sistemas a medida que usan agencias y freelancers.
Las agencias de desarrollo y marketing digital que administran varios sitios de clientes son las que tienen más trabajo esta semana: cada sitio puede estar en una versión distinta de PHP, en hostings distintos, con distinto nivel de mantenimiento. Lo mismo aplica a negocios de soporte técnico que atienden tiendas en línea, y a equipos de SaaS que corren su propia infraestructura sobre PHP.
Ejemplo: una agencia que administra varios sitios en WordPress
Una agencia con varios clientes en WordPress casi nunca necesita actualizar PHP ella misma —eso lo hace el hosting—, pero sí necesita confirmar, sitio por sitio, que la actualización ya se aplicó.
¿Ya hay un parche disponible para estos fallos de PHP?
Sí, la Fundación PHP ya publicó los parches de emergencia, según reportó TechCrunch el 21 de octubre de 2026. No es solo un anuncio: la corrección ya existe y la recomendación es aplicarla de inmediato o actualizar a la versión 8.5.12.
¿Mi sitio de WordPress está en riesgo por esto?
Sí, si tu sitio corre en una versión afectada de PHP, aunque el fallo no es específico de WordPress. WordPress aclaró que el problema está en el lenguaje PHP que corre debajo del sistema, y que cada sitio debe parcharse a través de su servidor o su proveedor de hosting.
¿Qué versión de PHP debo tener instalada?
La versión actual y parchada es PHP 8.5.12. Las versiones 8.1 y anteriores ya no reciben soporte oficial, así que si tu sitio corre en una de ellas necesitas actualizar a una versión soportada además de aplicar el parche.
¿Qué pasa si no puedo actualizar mi sitio hoy mismo?
La NSA recomendó que, si un sitio no puede parcharse de inmediato, se desconecte de internet hasta que pueda hacerlo. Dejarlo en línea sin parche es el escenario de más riesgo según la propia agencia.
¿Ya hubo ataques usando estos fallos?
No, según lo que reportó OpenAI, no hay reportes de estos fallos explotados antes de que se hicieran públicos: la inteligencia artificial los encontró primero. Eso cambia a partir de la divulgación, porque ahora cualquier atacante también los conoce.
¿Quién encontró estos fallos en PHP?
Los encontró la empresa Calif, dentro del programa Patch the Planet de OpenAI, usando el modelo GPT-5.6 Sol, y por separado el equipo de Wiz, usando su agente Wiz Atlas junto con los modelos Gemini 4 Argon y GPT-5.6 Sol, según detallaron TechCrunch y The Next Web.
Fuentes
¿Quieres que tu sitio esté protegido de este tipo de fallos?
En Zadrig Technology revisamos la infraestructura detrás de tu tienda en línea o tu sitio web para que un fallo como este no te tome por sorpresa. Agenda una demostración con nosotros.
Escríbenos por WhatsApp
