Los desarrolladores de PHP publicaron un informe sobre los problemas surgidos durante la correcci\u00f3n de las vulnerabilidades cr\u00edticas que se abordaron ayer en PHP. La informaci\u00f3n sobre la vulnerabilidad que surge al agotarse la memoria disponible fue obtenida en un auditor\u00eda externa en 2024, pero se consider\u00f3 solo como una posibilidad te\u00f3rica de ataque. La correcci\u00f3n se retras\u00f3 debido a problemas para alcanzar un consenso entre los desarrolladores de PHP sobre la forma de abordar la vulnerabilidad. Se consideraron varias propuestas competidoras para resolver el problema, cada una con sus desventajas. Se ten\u00eda que elegir entre romper la retrocompatibilidad, la aparici\u00f3n de nuevos vectores para ataques que causen denegaci\u00f3n de servicio, y la necesidad de modificar numerosos complementos de terceros. <\/p>\n
Hace unos meses, las empresas Calif y Wiz, utilizando de manera independiente los modelos de IA GPT\u20115.6 y Gemini 4 Argon, identificaron m\u00e9todos efectivos para explotar el problema y, el 11 y 24 de agosto de 2026, informaron a los desarrolladores de PHP. Posteriormente, se asign\u00f3 la m\u00e1xima prioridad al desarrollo de correcciones y se inici\u00f3 una reforma del proceso de toma de decisiones para una respuesta m\u00e1s \u00e1gil a los asuntos relacionados con compromisos complejos (ahora, tales decisiones pueden ser tomadas por mayor\u00eda sin necesidad de alcanzar un consenso estricto).<\/p>\n
Inicialmente, la fecha de publicaci\u00f3n del arreglo coordinada con las distribuciones estaba prevista para el 22 de octubre, pero luego se traslad\u00f3 al 21 de octubre despu\u00e9s de que el 20 de octubre se filtraron en las redes sociales detalles sobre los identificadores CVE y datos incorrectos sobre el momento de publicaci\u00f3n de los pr\u00f3ximos lanzamientos de correcci\u00f3n. <\/p>\n
Poco despu\u00e9s del anuncio de los pr\u00f3ximos arreglos, la empresa Calif, que identific\u00f3 una de las vulnerabilidades, public\u00f3 accidentalmente un video demostrando la explotaci\u00f3n, en el que se pod\u00edan notar algunos detalles que permit\u00edan acotar la b\u00fasqueda y recrear la informaci\u00f3n sobre el problema. El video fue r\u00e1pidamente eliminado, lo que solo impuls\u00f3 a los investigadores a profundizar en la esencia de la vulnerabilidad y aceler\u00f3 el trabajo en prototipos alternativos de exploits. <\/p>\n
Adem\u00e1s, seis horas antes de la publicaci\u00f3n prevista de las correcciones, la empresa Chainguard rompi\u00f3 el embargo y public\u00f3 versiones de su distribuci\u00f3n que conten\u00edan la versi\u00f3n corregida de PHP. Esta violaci\u00f3n permiti\u00f3 a los atacantes estudiar la correcci\u00f3n antes del lanzamiento oficial, adem\u00e1s de socavar todo el trabajo de divulgaci\u00f3n coordinada y la publicaci\u00f3n simult\u00e1nea de correcciones en diferentes distribuciones.<\/p>\n
Adici\u00f3n: A las 16 horas despu\u00e9s de la divulgaci\u00f3n de los detalles sobre las vulnerabilidades, a\u00fan no han surgido ataques masivos, lo que se explica por la dificultad en la explotaci\u00f3n de la vulnerabilidad debido a la necesidad de determinar la disposici\u00f3n de las estructuras en la memoria del proceso, que es espec\u00edfica de cada versi\u00f3n. Los prototipos de exploits publicados dependen de configuraciones espec\u00edficas y se realizan en condiciones de laboratorio. Tambi\u00e9n han aparecido muchos exploits falsos, que son alucinaciones de IA, que solo crean la apariencia de un ataque, ligados a errores en la configuraci\u00f3n o que solo funcionan en presencia de otras vulnerabilidades cr\u00edticas. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 PHP \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u043e\u0442\u0447\u0451\u0442 \u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0445, \u0432\u043e\u0437\u043d\u0438\u043a\u0448\u0438\u0445 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0432\u0447\u0435\u0440\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 PHP. \u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u0431 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0449\u0435\u0439 \u043f\u0440\u0438 \u0438\u0441\u0447\u0435\u0440\u043f\u0430\u043d\u0438\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438, \u0431\u044b\u043b\u0430 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0430 \u0432 \u0445\u043e\u0434\u0435 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u0430\u0443\u0434\u0438\u0442\u0430 \u0435\u0449\u0451 \u0432 2024 \u0433\u043e\u0434\u0443, \u043d\u043e \u0431\u044b\u043b\u0430 \u0432\u043e\u0441\u043f\u0440\u0438\u043d\u044f\u0442\u0430 \u043b\u0438\u0448\u044c \u043a\u0430\u043a \u0442\u0435\u043e\u0440\u0435\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438. \u0418\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0437\u0430\u0442\u044f\u043d\u0443\u043b\u043e\u0441\u044c \u0438\u0437-\u0437\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0434\u043e\u0441\u0442\u0438\u0436\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043d\u0441\u0435\u043d\u0441\u0443\u0441\u0430 \u0441\u0440\u0435\u0434\u0438 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 PHP \u043e \u0441\u043f\u043e\u0441\u043e\u0431\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":10,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-183958","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Violaciones del embargo y retrasos en el desarrollo de parches durante la correcci\u00f3n de vulnerabilidades en PHP | ProHoster","description":"Los desarrolladores de PHP publicaron un informe sobre los problemas que surgieron durante la correcci\u00f3n de las vulnerabilidades cr\u00edticas que se solucionaron ayer en PHP.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041d\u0430\u0440\u0443\u0448\u0435\u043d\u0438\u044f \u044d\u043c\u0431\u0430\u0440\u0433\u043e \u0438 \u0437\u0430\u0442\u044f\u0433\u0438\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0430\u0442\u0447\u0435\u0439 \u0432 \u0445\u043e\u0434\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 PHP | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 PHP \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u043e\u0442\u0447\u0451\u0442 \u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0445, \u0432\u043e\u0437\u043d\u0438\u043a\u0448\u0438\u0445 \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0432\u0447\u0435\u0440\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 PHP.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-10-22T15:40:23+00:00","article:modified_time":"2026-10-22T15:40:28+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/183958","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=183958"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/183958\/revisions"}],"predecessor-version":[{"id":183959,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/183958\/revisions\/183959"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=183958"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=183958"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=183958"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"