Ernesto Crespo

🚨 Si tienes un servidor con PHP, actualízalo hoy. Ya salió el parche y ya hay ataques reportados. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Todo lo anterior a esas versiones está afectado. Ayer habia mucha especulacion pero ahora sí es oficial: son 2 fallos en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619), conocidos como PHP2Shell, con gravedad 9.2 de 10, que permiten a un atacante ejecutar código de forma remota en servidores web sin iniciar sesión. Ambos son errores de memoria, en simple: PHP a veces no limpia bien la memoria entre una petición y otra, y un atacante puede aprovechar esos restos para meter su propio código. Y esto afecta a toda instalación de PHP que atienda peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los más expuestos son los que usan mod_php. Los ataques ya lo estan reportan empresas de seguridad: watchTowr detectó explotación real en su red de honeypots, Cloudflare dice que los ataques empezaron y Patchstack confirmó varios incidentes. PHP todavía no lo ha confirmado y CISA aún no los agregó a su catálogo de vulnerabilidades explotadas. Asi que si estás en versiones viejas: PHP ya no da soporte a 8.1 y anteriores, pero por la gravedad publicó parches mínimos para 7.4, 8.0 y 8.1, pensados para quien compila desde el código fuente. Las distros y proveedores con soporte largo recibieron los parches antes de la publicación, así que si tu PHP viene de Ubuntu, Debian o RHEL, revisa sus paquetes. Si estás en algo más viejo y sin proveedor, toca migrar. Lo que tienes que hacer hoy: ☑️ Actualiza a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 ☑️ Reinicia PHP-FPM o Apache para que todos los procesos usen la versión nueva ☑️ Si usas Docker, reconstruye tus imágenes ☑️ En Debian/Ubuntu, confirma con apt changelog: php -v puede mostrar el número viejo aunque ya esté parchado ☑️ Si usas el repositorio de Remi, hoy no tendrá actualizaciones: cambia a los paquetes de tu distro o compila PHP desde el código fuente ☑️ Si no puedes actualizar ya: pon session.upload_progress.enabled=0 y reinicia todos los procesos. Eso bloquea el ataque demostrado por esa vía, pero no los demás caminos. Actualizar es la única protección confiable. ☑️ Si estás detrás de Cloudflare, ya hay reglas de firewall contra los vectores conocidos, disponibles para todos los clientes, incluso el plan gratis. Ayuda, pero no reemplaza el parche. WordPress, Laravel, WooCommerce, Magento… todo corre sobre PHP. El fallo está debajo de todos ellos: no se arregla actualizando plugins ni tu código, sino la versión de PHP del servidor.

Si las entrevistas en remoto ya estaban en peligro de ser falsificadas, ahora sí se acabó. Tavus presentó Griffin: un avatar de video que escucha, mira y responde a la vez. En llamadas de 1 minuto, el 48% creyó que era una persona real. Antes no pasaban del 3%. Genera el frame completo, no solo la cara. Ve un objeto y lo mete en la conversación. Sigue en preview cerrada. Antes de abrirlo quieren que se note que es IA y limitar el uso. Aún no está disponible. Lo frenan justo porque casi la mitad no distinguió que era un modelo. tavus.io/griffin

Hace unos meses, PewDiePie, que fue el youtuber más grande del mundo durante casi una década con videos de juegos y sin nada que ver con tech, se puso a vibecodear y armó Odysseus: su propio harness de IA, local y open source. Y hoy lanza Ajax, un modelo de IA basado en Qwen 3.5 9B y afinado para ese harness. La idea: darle a tu agente un modelo que vive en tu PC y resuelve lo cotidiano (buscar, navegar, gestionar mails y calendario) sin mandar nada a un datacenter. Para armar los datos de entrenamiento intentó destilar Sol de OpenAI, pero le banearon la cuenta dos veces. Aún no está disponible. Sale el 3 de octubre a las 08:25 (hora de Japón). Más info: data.pewdiepie.com