La Fundación PHP ha advertido de la falta de financiación y personal especializado para garantizar la seguridad de uno de los lenguajes de programación más utilizados de Internet.
La alerta llega después del descubrimiento de dos vulnerabilidades graves que han obligado a publicar parches de emergencia y han desencadenado millones de intentos de explotación, según los datos de Cloudflare.
Pese a que PHP puede estar presente en hasta el 70% de los sitios web del mundo, la organización responsable de apoyar su desarrollo funciona con una estructura reducida y depende fundamentalmente de donaciones y subvenciones. “Tenemos una empleada a tiempo completo, que soy yo, y 14 contratistas que trabajan principalmente a tiempo parcial”, ha explicado a Reuters Elizabeth Barron, directora ejecutiva de la Fundación PHP. Además, los miembros de su consejo de administración desempeñan sus funciones de manera voluntaria y sin remuneración.
La responsable considera que los recientes incidentes han puesto de manifiesto la dependencia de empresas y administraciones públicas de esta tecnología. “Dada esa dependencia, está claro que PHP está increíblemente infrafinanciado”, ha advertido.
Un fallo conocido desde 2024 que terminó por permitir la ejecución remota de código
El origen de una de las vulnerabilidades, identificada como CVE-2026-109618, se remonta a una auditoría externa de seguridad realizada en 2024 por Quarkslab, con financiación de la agencia alemana Sovereign Tech Agency y coordinación de OSTIF. Durante la corrección de uno de los problemas detectados, un desarrollador encontró indicios de un fallo relacionado con la gestión de memoria. Aunque entonces se planteó la posibilidad de explotarlo, no se identificó una vía concreta para ejecutar código de forma remota.
La Fundación PHP reconoce que la búsqueda de una solución se prolongó por dificultades técnicas y organizativas. Las alternativas estudiadas podían comprometer la compatibilidad con versiones anteriores, introducir nuevos riesgos de denegación de servicio o exigir modificaciones en numerosas extensiones de terceros. Además, la escasez de especialistas con conocimiento profundo del motor de PHP y un proceso de toma de decisiones basado en el consenso retrasaron la corrección.
La situación cambió el 11 de agosto de 2026, cuando un investigador de Calif identificó una vía de ejecución remota de código asociada al mismo problema. OpenAI detectó independientemente la causa y, posteriormente, tanto esta compañía como Wiz aportaron nuevos vectores de ataque.
Desde entonces, la resolución de la vulnerabilidad pasó a ser la máxima prioridad del equipo de seguridad, que coordinó las correcciones publicadas esta semana. Barron ha precisado que no existen pruebas de explotación antes de la divulgación pública ni indicios de ataques efectivos contra sistemas ya actualizados.
La IA multiplica los hallazgos y la carga de trabajo
La irrupción de herramientas de inteligencia artificial ha transformado también la investigación de vulnerabilidades en PHP. La Fundación utiliza sistemas como Claude Mythos, de Anthropic, y Daybreak Red, de OpenAI, para analizar código y validar posibles fallos.
Sin embargo, esta capacidad de detección también está incrementando la presión sobre los desarrolladores. Según Barron, el proyecto recibe casi el doble de propuestas de modificación de código que hace un año, mientras que el número de colaboradores no ha crecido al mismo ritmo.
Desde el 1 de julio, el equipo de seguridad ha publicado 15 vulnerabilidades CVE y ha examinado más de 100 informes que resultaron inválidos, duplicados o imposibles de reproducir.
La organización insiste en que las herramientas automatizadas pueden acelerar la identificación de errores, pero las decisiones sobre compatibilidad, correcciones y publicación de parches siguen requiriendo ingenieros experimentados.
Para afrontar esta situación, la Fundación creó en mayo de 2026 un equipo especializado en seguridad del ecosistema y reforzó su plantilla técnica durante el verano. Ahora reclama financiación estable a empresas tecnológicas, proveedores de alojamiento, plataformas en la nube y administraciones públicas que utilizan PHP en sus servicios.
Si (
No(
