Resumen ejecutivo

• El 21 de octubre el equipo de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas (conocidas como «php2shell») que permiten ejecutar código en un servidor sin autenticarse.

• OpenAI informó que una de las fallas fue identificada con uno de sus modelos dentro de su iniciativa «Patch the Planet», y que la empresa de seguridad Wiz también las descubrió de forma independiente. La agencia de ciberseguridad de Estados Unidos (CISA) pidió parchear de inmediato.

• Si tenés un sitio en PHP o WordPress, lo urgente es revisar qué versión de PHP usa tu hosting y actualizar. Si estás en PHP 8.1 o anterior, el riesgo es mayor porque el proyecto ya no las actualiza.

• El caso muestra hacia dónde va la ciberseguridad: la IA acelera tanto el descubrimiento de fallas como la necesidad de perfiles que sepan responder rápido.

PHP es el lenguaje detrás de una enorme cantidad de sitios web: blogs, tiendas online, sistemas de turnos y, sobre todo, todo lo que corre sobre WordPress. Por eso, cuando el propio proyecto PHP publica un aviso de seguridad pidiendo a todos sus usuarios que actualicen ya, es una noticia que afecta directamente a pymes, emprendedores y freelancers de Latinoamérica que tienen su web en un hosting compartido y quizás nunca se preguntaron qué versión de PHP usan. Además, esta vez hay un ingrediente nuevo: la inteligencia artificial participó en encontrar las fallas. En esta nota te contamos qué se anunció, qué hacer hoy con tu sitio y qué dice este caso sobre el trabajo en ciberseguridad.

Qué se anunció

Según el aviso de seguridad publicado en el sitio oficial de PHP, las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos vulnerabilidades críticas (identificadas en GitHub como GHSA-w8hw-w9fx-j79w y GHSA-6wmf-4rv5-p3rp, y conocidas como «php2shell») que pueden permitir la ejecución remota de código sin autenticación. En términos simples: alguien de afuera podría hacer que tu servidor ejecute instrucciones sin necesidad de usuario ni contraseña.

El aviso detalla que están en riesgo todas las instalaciones de PHP que atienden pedidos web, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed, y que el riesgo es mayor con mod_php. El anuncio de la versión 8.5.12 es tajante: no hay mitigaciones completas y actualizar es la única opción segura.

Ese mismo día, la agencia de ciberseguridad de Estados Unidos (CISA) emitió una alerta pidiendo a las organizaciones identificar todos sus sistemas con PHP y aplicar el parche de inmediato, priorizando los expuestos a internet. Al momento de su publicación, CISA indicó que no había observado explotación activa.

El rol de la IA en el hallazgo

OpenAI publicó un artículo titulado «Patch the Planet» en el que explica que la firma Calif identificó una de las fallas usando uno de sus modelos, y que Wiz descubrió y reportó ambas de forma independiente. Según OpenAI, coordinó durante dos meses con los mantenedores de PHP, investigadores y proveedores de infraestructura para preparar los parches y las protecciones antes de hacer pública la información.

La empresa también advierte algo importante: las mismas capacidades que permiten a la IA encontrar fallas pueden ayudar a atacantes a desarrollar exploits más rápido. Por eso espera que este tipo de hallazgos aumente en los próximos meses.

Qué hacer hoy si tu sitio usa PHP o WordPress

1. Averiguá qué versión de PHP usa tu sitio

• En WordPress: entrá al panel y andá a Herramientas > Salud del sitio > Información > Servidor. Ahí figura la versión de PHP.

• En el panel de tu hosting: la mayoría (cPanel, Plesk u otros) tiene una sección para ver y cambiar la versión de PHP.

• Si tenés acceso técnico: la función phpversion() o el comando php -v te muestran la versión.

2. Actualizá o pedile a tu hosting que actualice

Si usás un hosting compartido o administrado, el proveedor es quien actualiza PHP en el servidor. Escribile hoy y preguntá explícitamente si ya aplicó las versiones corregidas. Según el aviso de PHP, las distribuciones de Linux y los proveedores con soporte extendido recibieron los parches por adelantado, así que muchos ya deberían tenerlos.

Si administrás tu propio servidor, actualizá a la versión corregida de tu rama (8.5.12, 8.4.27, 8.3.36 u 8.2.35) usando los paquetes de tu distribución o las descargas oficiales, y reiniciá todos los procesos de PHP.

3. Si estás en PHP 8.1 o anterior

El proyecto PHP ya no publica actualizaciones para esas versiones. El equipo de seguridad publicó parches mínimos para quienes compilan desde el código fuente, y algunos proveedores ofrecen correcciones propias, pero la recomendación es pasar a una versión con soporte. CISA fue más lejos: para quienes no puedan actualizar de inmediato o sigan en versiones sin soporte, sugirió desconectar los sistemas hasta poder parchearlos. Un firewall de aplicaciones web puede dar algo de protección mientras tanto, pero no reemplaza la actualización.

4. Revisá la compatibilidad de WordPress

WordPress recomienda en sus requisitos oficiales usar PHP 8.3 o superior. Antes de cambiar de versión de PHP, hacé un backup, actualizá WordPress, plugins y temas siguiendo la guía oficial de actualización, y probá el sitio. Si no sabés cómo hacerlo, esta guía para crear y administrar tu web con WordPress te ayuda con lo básico.

5. Mirá si hubo actividad sospechosa

Si tu sitio estuvo expuesto, pedile a tu hosting o a quien lo administre que revise los registros. CISA recomienda prestar atención a procesos de PHP que lancen consolas o descarguen herramientas, algo que un usuario no técnico no puede ver, pero tu proveedor sí.

Checklist rápido para pymes y emprendedores

• Hacé una lista de todos tus sitios y sistemas web (tienda, blog, landing, sistema de turnos).

• Averiguá qué versión de PHP usa cada uno.

• Pedí la actualización por escrito a tu hosting o desarrollador.

• Hacé un backup completo antes de cualquier cambio.

• Actualizá WordPress, plugins y temas.

• Agendá una revisión cada tres meses para no quedar en versiones sin soporte.

Para ordenar el resto de la seguridad de tu negocio, leé esta guía de ciberseguridad para emprendedores y pymes.

Qué dice este caso sobre el trabajo en ciberseguridad

• Más hallazgos, más trabajo de respuesta: si la IA acelera el descubrimiento de vulnerabilidades, también crece la demanda de quienes saben evaluar el impacto, aplicar parches y comunicar el riesgo.

• Gestión de vulnerabilidades como especialidad: inventariar sistemas, priorizar qué parchear primero y verificar que el parche esté aplicado es un trabajo en sí mismo.

• El desarrollo seguro pesa más: quienes programan en PHP o cualquier lenguaje necesitan entender cómo se explotan las fallas para no introducirlas.

• Las herramientas de IA son parte del oficio: los equipos de seguridad ya las usan para analizar código y detectar patrones riesgosos.

Si te interesa este camino, mirá esta guía sobre ciberseguridad como carrera. Y si querés entender mejor el lenguaje afectado, repasá qué es PHP y para qué sirve.

Cursos recomendados de Coderhouse

• Curso de WordPress: para administrar tu sitio con criterio, incluyendo actualizaciones, plugins y buenas prácticas de mantenimiento.

• Curso de Desarrollo Web: para entender cómo funciona un sitio por dentro y dar el primer paso hacia el desarrollo.

• Carrera de Desarrollo Backend: para aprender cómo funcionan los servidores y las aplicaciones web, la base para cualquier perfil de desarrollo seguro.

¿Querés dejar de depender de otros para mantener tu web segura? Sumate al curso de WordPress de Coderhouse.

Preguntas frecuentes

¿Mi sitio en WordPress está en riesgo? WordPress funciona sobre PHP, así que sí está alcanzado si el servidor usa una versión sin el parche. La solución es actualizar PHP en el servidor, no solo WordPress.

¿Tengo que hacer algo si uso un constructor como Wix o Tiendanube? En las plataformas cerradas, la infraestructura la administra el proveedor. Si tenés dudas, consultá su canal de soporte o su página de estado.

¿Alcanza con un plugin de seguridad? No. Estas fallas están en PHP, por debajo de WordPress. Un plugin no las corrige; hay que actualizar la versión de PHP del servidor.

¿La IA hace más inseguros los sistemas? No necesariamente. En este caso ayudó a encontrar las fallas antes de que se explotaran, pero también puede acelerar a los atacantes. Por eso actualizar rápido es cada vez más importante.