Un nuevo artículo de Medium aporta identificadores y detalles operativos sobre dos supuestas vulnerabilidades de PHP. El texto menciona CVE-2026–109618 y CVE-2026–109619, con una gravedad de 9,2. Según el informe, un atacante no necesita autenticarse para ejecutar código de forma remota, tomar el control de servidores, robar datos y atacar a los visitantes de los sitios. Los fallos habrían permanecido ocultos durante más de una década, unos doce años.

El artículo afirma que PHP funciona en millones de sitios y que WordPress supera el 40 % de la web. A Palo Alto Networks le atribuye una estimación de 22,6 millones de instancias expuestas. Nicholas Weaver habría declarado a Cybersecurity Dive que ya se detectan explotaciones activas. Cisco aparece citado con otra estimación: aproximadamente la mitad de las instancias de PHP accesibles desde Internet usarían versiones sin soporte de seguridad.

La publicación sostiene que CISA y organismos de ciberseguridad del Reino Unido, Canadá, Australia y la Unión Europea recomendaron desconectar los sitios afectados hasta aplicar el parche. Entre los servicios retirados de Internet menciona los servicios públicos estatales de Finlandia, la web de la agencia nacional de ciberseguridad de los Países Bajos y sitios de prefecturas francesas. Wikimedia también habría desconectado algunos sistemas, lo que interrumpió temporalmente el acceso a partes de Wikipedia.

La NSA habría advertido de que los fallos permiten llegar directamente al sistema de archivos o a la base de datos de un servidor. La Casa Blanca habría comunicado que las agencias federales estadounidenses estaban revisando su uso de PHP y que el Gobierno de Estados Unidos conoció la vulnerabilidad el 16 de octubre. El parche estaba previsto para una fecha posterior. Según el artículo, una filtración en redes sociales el martes llevó a los desarrolladores de PHP a publicar una solución de emergencia un día antes.

El informe atribuye el hallazgo a la empresa de seguridad Wiz y a GPT-5.6 Sol de OpenAI, que habría trabajado dentro del programa Patch the Planet. OpenAI describió la corrección como compleja y dijo que exigía un cambio importante en el motor de PHP. El texto cita un aviso de seguridad y una publicación de emergencia de php.net, pero no especifica ninguna versión afectada ni corregida.

El autor presenta el caso como un cambio de etapa para la seguridad defensiva con IA. También advierte de que los atacantes podrían utilizar herramientas similares cuando el parche sea público. Entre las cuestiones pendientes sitúa las intrusiones durante las próximas 72 horas, la actualización de instalaciones antiguas y el posible uso de Patch the Planet como modelo para proteger software de código abierto. Menciona Heartbleed y Log4j como fallos que un programa de este tipo podría ayudar a prevenir, y prevé interrupciones importantes en sistemas heredados.

Las notas de fuentes del artículo mencionan a CISA, la NSA, avisos internacionales de octubre de 2026, la Casa Blanca, OpenAI, Wiz, Palo Alto Networks, Cisco, Cloudflare, Cybersecurity Dive, The Wall Street Journal y php.net.