La Fundación PHP publicó el miércoles parches críticos para dos vulnerabilidades, designadas CVE-2026-109618 y CVE-2026-109619, que permitían la ejecución remota de código sin autenticación. Este fallo, conocido como PHP2Shell, otorgaba a los atacantes el control total de servidores web expuestos a internet sin necesidad de credenciales, facilitando la instalación de malware y el robo de datos. Dado que aproximadamente el 70% de la web pública depende de PHP, el incidente obligó a miles de empresas, incluidas grandes tecnológicas y servicios bancarios, a apagar sus servidores para aplicar las correcciones antes de que los hackers explotaran las brechas. La Fundación PHP había mantenido un embargo estricto sobre la información para permitir que las organizaciones más grandes se prepararan, pero investigaciones de Amazon sugieren que la explotación comenzó una semana antes de la divulgación pública, posiblemente debido a fugas de información o a que los investigadores conocían la ubicación de los bugs antes de su parcheo. Aunque la situación se ha estabilizado, los expertos advierten que muchos sistemas siguen sin parchear y que la inteligencia artificial podría acelerar el descubrimiento de futuras vulnerabilidades en el software de código abierto.
Noticias agregadas con IA