La PHP Foundation, que mantiene el lenguaje de buena parte de la web, tiene una sola empleada a tiempo completo

PHP es el lenguaje de programación detrás de una parte enorme de internet: según Reuters, podría sostener hasta el 70 % de los sitios web del mundo. Esta semana se descubrieron dos fallos críticos en el lenguaje, y la organización sin ánimo de lucro que lo mantiene, la PHP Foundation, ha explicado con qué recursos responde a algo así: muy pocos.

«Tenemos una sola persona en plantilla a tiempo completo (que soy yo) y 14 contratistas, la mayoría a tiempo parcial». Así lo dijo su directora ejecutiva, Elizabeth Barron, en una entrevista por correo electrónico con Reuters publicada el 23 de octubre. Los miembros del consejo son voluntarios sin sueldo, y la fundación se financia con donaciones y subvenciones. «Dada esa dependencia, está claro que PHP está increíblemente infrafinanciado», añadió Barron.

Los fallos que lo pusieron en primer plano

El 21 de octubre, PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. Según la propia fundación, ambas permiten a un atacante sin autenticar ejecutar código en servidores con PHP si se dan ciertas condiciones:

• CVE-2026-109618. Una petición que alcanza el límite de memoria en el momento justo puede corromper la memoria. En Apache con mod_php puede ocurrir antes de que se ejecute el código de la aplicación, y la ejecución remota de código se demostró con la configuración predeterminada.
• CVE-2026-109619. Un error fatal puede dejar estado interno apuntando a memoria de una petición anterior. Eso provoca un uso de memoria ya liberada y la caída de procesos.

La fundación indica que la puntuación de gravedad real es 9,2 sobre 10. La cifra de 10 que circuló antes del parche era errónea. El lanzamiento se adelantó un día, del 22 al 21 de octubre, porque los identificadores de las vulnerabilidades se filtraron la tarde del 20 con datos incorrectos. Según el mismo comunicado, en el momento de publicar las correcciones no se conocían ataques reales que las aprovecharan.

Reuters añade que Cloudflare informó de millones de intentos de ataque. Barron, por su parte, dijo no tener pruebas de que los fallos se explotaran antes de hacerse públicos ni en sitios ya actualizados.

Una fundación que trabaja con socios

Para investigar y coordinar estas correcciones, la fundación colabora con empresas e investigadores externos. Reuters menciona a OpenAI y a las firmas de ciberseguridad Wiz y Calif. El comunicado de la fundación detalla además el origen del hallazgo:

• Una auditoría externa de 2024, financiada por la Sovereign Tech Agency y realizada por Quarkslab, dio las primeras pistas.
• Calif informó el 11 de agosto de 2026 de una ejecución remota de código con la misma causa.
• Wiz y OpenAI enviaron informes en agosto y septiembre.

La fundación reconoce que el retraso en atajar el problema desde 2024 fue un fallo estructural, causado por el proceso de decisión y la falta de recursos. Desde mayo de 2026 cuenta con un equipo de seguridad del ecosistema. Desde el 1 de julio ha publicado 15 CVE y descartado más de 100 informes inválidos, duplicados o no reproducibles.

La paradoja de la inteligencia artificial

Barron describió a Reuters un efecto doble de la IA:

• Ayudó a los investigadores a encontrar fallos que llevaban una década en el código y hace más eficientes a los programadores.
• También dispara la carga de trabajo: PHP recibe casi el doble de propuestas de cambios en el código que hace un año, «pero el número de colaboradores no se ha duplicado».
• Revisar esas contribuciones exige, en sus palabras, «una enorme cantidad de intervención y experiencia humana».

Qué pide la fundación

En su comunicado del 21 de octubre, la PHP Foundation pide a las empresas que usan PHP que la patrocinen en proporción a cuánto dependen del lenguaje. También pide apoyo a los proveedores de alojamiento, las plataformas en la nube y las distribuciones, y financiación sostenida a gobiernos e instituciones públicas.

Qué hacer si tienes una web con PHP

Si tu sitio usa PHP, por ejemplo con WordPress, la recomendación práctica es comprobar que tu servidor o tu proveedor de alojamiento ya usa una de las versiones corregidas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Si no estás seguro, pregúntale directamente a tu proveedor.