¡Han hackeado PHP!

¡Vulnerabilidad crítica histórica en PHP! Dos fallos que permiten ejecutar código remoto SIN autenticación en servidores con PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Te cuento qué ha pasado, a quién afecta, cómo actualizar y qué hacer si usas una versión antigua. Versiones con el parche: 8.2.35, 8.3.36, 8.4.27 y 8.5.12 Los fallos se encontraron con ayuda de la IA: Calif usó GPT-5.6 Sol de OpenAI y Wiz, que descubrió los dos, también tiró de Sol y de Gemini. 🔗 Enlaces Aviso de seguridad oficial de PHP: https://www.php.net/archive/2026.php2026-10-21-5 Descargas de PHP: https://www.php.net/downloads.php CVE-2026-109618 (RCE por corrupción OOM): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w CVE-2026-109619 (RCE por estado global obsoleto): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp OpenAI, Patch the Planet: https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ Capítulos: 0:00 Vulnerabilidad crítica histórica en PHP 0:45 El rumor y el aviso anticipado del equipo de PHP 1:23 Por qué es tan grave: un 9,2 en CVSS 2:07 Versiones con el parche 2:46 ¿Y las versiones antiguas? PHP 7.4, 8.0 y 8.1 3:19 Vulnerabilidad 1: datos corruptos al quedarse sin memoria 4:22 Vulnerabilidad 2: estado global obsoleto 5:07 Sin login ni contraseña: a quién afecta 5:33 Qué hacer: comprobar tu versión y actualizar 6:12 Reinicia el proceso, Docker y hosting compartido 6:50 Si no puedes actualizar ya: WAF y configuración de PHP 8:00 La sorpresa: cómo se encontraron (OpenAI y GPT-5.6) 9:33 Conclusión