El fundador de Binance, CZ, advirtió a los usuarios de internet que extremen la precaución al navegar, después de que investigadores descubrieran dos vulnerabilidades críticas en PHP bajo explotación activa. Las fallas podrían afectar hasta al 70% de los sitios web, incluidas plataformas como WordPress y Magento, convirtiendo este episodio en uno de los mayores eventos de seguridad del año tanto para el mundo cripto como para internet en general.
Qué ocurrió realmente
CZ, fundador de Binance, publicó una advertencia el 23 de octubre de 2026 pidiendo precaución al visitar sitios web en los próximos días. Explicó que PHP, ampliamente utilizado en WordPress y Magento, corrigió dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, el 21 de octubre de 2026. Los detalles se filtraron antes de la divulgación oficial, y la explotación comenzó casi de inmediato. El equipo de inteligencia de amenazas de Amazon detectó intentos de explotación ya el 17 de octubre de 2026, días antes de que se publicara la corrección oficial. Palo Alto Networks contabilizó más de 22,6 millones de instancias expuestas en todo el mundo. Investigadores de Wiz estimaron que las fallas podrían afectar a cerca del 70% de internet, calificando el problema subyacente como de más de una década de antigüedad. Matt Hull, de NCC Group, advirtió que algunos sistemas ya podrían estar comprometidos y con puertas traseras instaladas, según WuBlockchain.
Cómo llegamos hasta aquí
Haseeb Qureshi, socio gerente de Dragonfly, señaló que el sector cripto está viviendo una ola de ataques antes que el resto de internet, ya que los ataques on-chain son más fáciles de monetizar directamente. Indicó que el volumen de ataques ha aumentado considerablemente, pero las pérdidas anualizadas se mantienen prácticamente estables respecto a 2025, lo que significa que las pérdidas promedio por incidente han caído a medida que los grandes protocolos adoptan defensas basadas en IA. Vitalik Buterin, cofundador de Ethereum, respondiendo al debate sobre el descubrimiento de vulnerabilidades asistido por IA, dijo que nunca esperó que la defensa superara automáticamente a los atacantes. Argumentó que las ventajas duraderas requieren cambios más profundos, incluida la verificación formal, e instó a destinar más del 1% del PIB a ciberseguridad y bioseguridad, según WuBlockchain.
Por qué esto te importa
Para los usuarios de cripto, esto es un recordatorio de que la mayoría de los hackeos todavía comienzan en la infraestructura web ordinaria, no en los contratos inteligentes. Las interfaces de wallets, los portales de exchanges y los frontends de DeFi suelen funcionar sobre sistemas basados en PHP, por lo que los servidores sin parchear pueden exponer credenciales o frases semilla. Los desarrolladores de protocolos pequeños enfrentan el mayor riesgo, ya que Qureshi señala que los atacantes apuntan cada vez más a proyectos con presupuestos de seguridad débiles. Las plataformas más grandes que incorporan monitoreo con IA podrían ver menos pérdidas por incidente, pero los equipos pequeños aún no pueden igualar esa capacidad. Cualquiera que administre un sitio personal, una pasarela de wallet o el blog de una empresa debería confirmar que el parche del 21 de octubre esté instalado y tratar los plugins desactualizados como una amenaza activa, no futura.
La gran pregunta
Si la IA puede ayudar tanto a atacantes como a defensores a descubrir las mismas fallas a la misma velocidad, ¿realmente una mejor detección reduce el daño en el mundo real, o solo acelera el ritmo al que se mueven ambos bandos? La propia incertidumbre de Buterin sobre si la defensa puede tomar ventaja sugiere que ni siquiera los expertos saben quién se beneficia más a medida que estas herramientas se expanden por el mundo cripto y por internet en general.
Qué vigilar
Los equipos de seguridad seguirán monitoreando la explotación de CVE-2026-109618 y CVE-2026-109619 durante el resto de 2026. Los operadores de sitios web deben confirmar de inmediato que el parche del 21 de octubre esté aplicado. Por separado, la primera regla de la OCC bajo la Ley GENIUS sobre rendimientos de stablecoins entrará en vigor el 18 de enero de 2027, un recordatorio de que los calendarios de seguridad y regulación de cripto avanzan ahora en paralelo.
