La última semana ha visto una avalancha de vulnerabilidades graves y críticas en software que afectan a miles de sitios importantes y han sembrado el pánico. Dos fallos de ejecución remota de código (RCE) en PHP, bautizados como PHP2Shell, fueron encontrados por equipos de seguridad independientes de Calif y Wiz, ambos utilizando modelos de IA de vanguardia para hallar los errores y construir exploits funcionales. Las estimaciones sugieren que el fallo podría afectar a más del 70% de internet, con miles de sitios web afectados, entre ellos la Fundación Wikimedia, DeviantArt, buena parte del gobierno del Reino Unido, los sistemas bancarios de Japón y el sitio de The Traitors de la BBC.
Uno de los fallos, CVE-2026-109618, en realidad había sido señalado en una auditoría de seguridad de 2024 realizada por la PHP Foundation, financiada por la Sovereign Tech Agency. El equipo lo dejó de lado porque tenía preocupaciones más importantes y no logró ponerse de acuerdo sobre una solución, razonando que nadie podría construir un exploit real a partir de un problema teórico. Los modelos de IA han cambiado ese cálculo. Son muy buenos convirtiendo una descripción vaga de una vulnerabilidad en un exploit completo, y los agentes ahora pueden analizar los diffs de los parches en cuestión de momentos tras su publicación para llegar hasta el fallo.
El embargo se rompió cuando un usuario llamado petecooper publicó sobre los CVE en Hacker News, aparentemente sin saber que existía un embargo. El PHP Group adelantó apresuradamente el parche del jueves 22 al miércoles 21, pero la corrección aún no estaba prevista para otro día. Las puntuaciones CVSS filtradas de 10.0 también eran inexactas, ya que la puntuación real era 9.2. Cuando se publicó el parche, la vulnerabilidad ya se estaba explotando en la naturaleza.
La PHP Foundation culpó a Calif, que según se informa filtró un vídeo del exploit, y a Chainguard, que publicó las correcciones seis horas antes de que terminara el embargo. La secuencia de hechos es confusa, pero parece que varios fallos vinculados permitieron a los atacantes llegar a los sistemas antes de que los administradores pudieran aplicar los parches.
Fuente: Hacker News · Resumido por HeadlinesBriefing