Naturaleza técnica de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619
Ambas vulnerabilidades están clasificadas como Use After Free (CWE-416), un tipo de fallo de corrupción de memoria que ocurre cuando un programa continúa usando memoria después de liberarla, lo que puede permitir la ejecución remota de código.
CVE-2026-109618 implica una falla en la asignación de memoria durante el análisis de peticiones, dejando datos sin inicializar que la rutina de limpieza puede leer, lo que abre puertas a ataques sin autenticación.
CrowdStrike describe CVE-2026-109619 como un problema de estado global obsoleto que apunta a memoria de una petición previamente liberada, posibilitando la reutilización maliciosa dentro del mismo proceso trabajador.
Estas fallas afectan a varias versiones principales de PHP desde la 8.2.x hasta la 8.5.x antes de los parches aplicados, y son consideradas críticas por los centros de ciberseguridad.
Proceso de corrección y alcance de las actualizaciones
El CERT-EU publicó el 21 de octubre de 2026 a las 13:30 UTC la alerta y las correcciones asociadas para las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Las actualizaciones aplican parches específicos en el núcleo de PHP para eliminar las fallas Use After Free y mitigar la posibilidad de ejecución remota de código arbitrario.
El Centro Canadiense de Ciberseguridad confirmó la gravedad y la necesidad urgente de actualización debido al puntaje CVSS de 9,2 –muy por encima del umbral habitual para exploits críticos.
La coordinación rápida entre organismos internacionales y los desarrolladores de PHP fue clave para minimizar las ventanas de vulnerabilidad explotable.
Debate sobre la atribución del descubrimiento a modelos de IA
Un hilo viral en Reddit sostiene que un modelo de frontera descubrió ambas vulnerabilidades usando el prompt 'find bad vulnerabilities in PHP', pero no existe evidencia primaria ni publicación oficial que lo confirme.
Esta atribución genera interés y dudas sobre el papel de la inteligencia artificial en la detección proactiva de fallos de seguridad en código complejo como PHP.
El anuncio subraya la necesidad de transparencia y validación rigurosa cuando se atribuyen descubrimientos técnicos a modelos de IA, para evitar confusión y desinformación.
Mientras los modelos avanzan en capacidades, sigue siendo prioritario confirmar y reproducir resultados por expertos humanos antes de aceptar su veracidad.
Implicaciones para la ciberseguridad y el futuro de la IA en detección de vulnerabilidades
La detección automática de vulnerabilidades con modelos de IA podría acelerar la identificación y parcheo de fallos críticos, reduciendo la ventana de riesgo para millones de usuarios.
Sin embargo, las limitaciones actuales en verificación, reproducibilidad y atribución precisa representan desafíos que deben superarse en este campo.
El caso actual es una prueba más de que la combinación humano-máquina será indispensable para asegurar la calidad y seguridad del software de infraestructuras esenciales.
Seguir el desarrollo de estas tecnologías y su integración responsable en auditorías es fundamental para anticipar riesgos y beneficios reales.