La IA encontró dos fallas graves en PHP, el lenguaje de gran parte de las webs: qué hacer si tenés WordPress

Si la web de tu negocio está hecha con WordPress, esta noticia te interesa aunque nunca hayas escuchado hablar de PHP. PHP es el lenguaje con el que funcionan WordPress y muchísimas otras webs, y el 21 de octubre de 2026 publicó actualizaciones urgentes para dos fallas muy graves.

Lo novedoso es cómo se descubrieron: investigadores que trabajaron con ayuda de inteligencia artificial. Te contamos qué pasó y qué tenés que revisar.

Qué pasó

PHP corrigió dos fallas críticas que permitían tomar el control de un servidor a distancia, sin usuario ni contraseña. En su aviso oficial, titulado "Vulnerabilidades críticas de ejecución remota de código, actualizá ya", PHP explica que afectan a todas las instalaciones que atienden visitas web.

Las fallas se identifican como CVE-2026-109618 y CVE-2026-109619 y tienen una gravedad de 9,2 sobre 10. La firma de seguridad Wiz las bautizó PHP2Shell y estima que PHP está detrás de alrededor del 70% de los sitios web del mundo.

Cómo las encontró la IA

Investigadores de seguridad usaron modelos de IA para encontrar las fallas antes que los atacantes. Según The Next Web, la firma Calif encontró la primera en agosto con un modelo de OpenAI, durante una auditoría que financió OpenAI. Semanas después, el equipo de Wiz las encontró por su cuenta con su propia herramienta y modelos de Google y OpenAI.

Wiz cuenta en su blog que el 20 y 21 de agosto logró demostrar el ataque sobre Drupal y sobre la última versión de WordPress, y que el 24 de agosto avisó al equipo de seguridad de PHP. Las versiones corregidas salieron el 21 de octubre.

Hace pocos días te contamos el caso de un hacker que usó agentes de IA para atacar más de 100 sitios. Esta es la otra cara: la IA también sirve para encontrar y tapar agujeros.

Por qué hubo apuro

Los detalles se filtraron antes de tiempo y PHP tuvo que adelantar la publicación. Según The Next Web, que cita al Wall Street Journal, la información apareció en un foro antes de la fecha acordada, y después circuló en internet un ejemplo de cómo aprovechar las fallas.

The Next Web también informa que agencias de seguridad de Europa recomendaron desconectar los sistemas que no se pudieran actualizar enseguida, y que Cloudflare activó protecciones para todos sus clientes, incluidos los gratuitos.

Qué tenés que hacer

Si tenés una web propia hecha con PHP, lo urgente es confirmar que se actualizó. Según el aviso oficial, las versiones que corrigen las fallas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y actualizar es "la única solución completa".

1. Averiguá con qué está hecha tu web. Si es WordPress, Drupal o Joomla, funciona con PHP.
2. Preguntale a tu proveedor de hosting o a quien te mantiene la web si ya actualizó PHP a una versión corregida.
3. Si usás una versión vieja, pedí la actualización. Las versiones anteriores a la 8.2 ya no reciben correcciones del proyecto.
4. Actualizá también WordPress, los plugins y el tema. No corrige esta falla, pero cierra otras puertas.
5. Si usás una plataforma administrada, como las de tiendas online, el proveedor se ocupa de sus servidores. Igual vale la pena mirar si publicó algún aviso.

Mi proveedor de hosting me respondió esto sobre las fallas de PHP del 21 de octubre de 2026: [pegá la respuesta]. Explicámelo en palabras simples y decime si mi web ya está protegida o qué más le tengo que preguntar.

En resumen

PHP publicó el 21 de octubre de 2026 parches urgentes para dos fallas críticas, encontradas por investigadores con ayuda de IA, que afectaban a webs como WordPress. Si tenés web propia, confirmá con tu proveedor que PHP está actualizado a 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Si estás armando o renovando la web de tu negocio con IA, en IA para tu negocio lo hacemos paso a paso y con cuidado.