si hoy vieron noticias de sitios desconectados y una alerta de seguridad en PHP, está relacionado con las vulnerabilidades que les conté acá. les cuento la historia desde el principio. PHP es el lenguaje que usan muchísimas webs, incluidas las que funcionan con WordPress. encontraron 2 fallas críticas que, bajo ciertas condiciones, permiten ejecutar código en un servidor sin siquiera iniciar sesión. ¿qué pasó? (1) en 2024 ya habían detectado señales de uno de los problemas. corregirlo era complejo y todavía no habían demostrado cómo aprovecharlo para ejecutar código. (2) en agosto de este año, investigadores con ayuda de IA lograron demostrar ese riesgo. Calif, OpenAI y Wiz aportaron hallazgos que hicieron evidente la gravedad. (3) durante los últimos 2 meses, los mantenedores de PHP trabajaron en las correcciones y coordinaron con proveedores para preparar las actualizaciones. el plan era publicarlas el 22 de octubre. (4) ayer empezó a circular información antes de tiempo. PHP publicó la alerta y adelantó los parches un día. después, Calif publicó por error un video demostrativo que terminó circulando en redes. (5) Cloudflare detectó intentos de ataque y algunas organizaciones desconectaron sus sitios por precaución hasta poder actualizarlos. (6) hoy, 21 de octubre, se publicaron las versiones corregidas. si tienen un sitio con PHP, hay que actualizar el PHP que corre en el servidor. actualizar WordPress o sus plugins no alcanza. me da la sensación de que vamos a ver muchas más historias así. fallas que llevan años en software que usamos todos los días y que ahora, con ayuda de IA, se vuelven más fáciles de encontrar y explotar.