Cómo la IA convirtió un bug de 22 años en una crisis de 48 horas
Las herramientas de IA comprimieron una vulnerabilidad PHP de décadas en una emergencia global de 48 horas, exponiendo millones de sitios y transformando la seguridad de internet.
El reloj se acortó
Un error silencioso se escondió en PHP durante veintidós años. Nadie lo detectó porque nadie podía recorrer la cadena de exploit que requería —una secuencia tan compleja que incluso investigadores humanos experimentados se topaban con un techo insalvable en lo que podían lograr en la práctica.
Llegó la IA.
En octubre de 2026, esa vulnerabilidad dormida se convirtió en el centro de lo que los expertos en ciberseguridad ya llaman “Octubre Negro”. En cuarenta y ocho horas desde que se hizo público el fallo, los actores maliciosos habían intentado explotarlo millones de veces. Gobiernos de EE. UU. y el Reino Unido desconectaron sitios temporalmente. La NSA emitió una alerta de emergencia. Y una generación de líderes tecnológicos reconoció públicamente algo para lo que la mayoría de ellos se habían preparado en silencio: las reglas de la seguridad en internet acababan de cambiar, y no a favor de nadie.
La implicación menos obvia aquí no es que la IA pueda encontrar errores. Es que la IA ha comprimido el plazo entre descubrimiento y explotación —de años, o décadas— a días. Esa compresión es lo que hace que este momento sea cualitativamente diferente de cada carrera por parches que lo precedió.
Un lenguaje que internet no sabía que aún necesitaba
PHP alimenta aproximadamente el setenta por ciento de todos los sitios web del internet. Esa cifra proviene de múltiples expertos estimando el alcance de un lenguaje de programación que la mayoría de la gente suponía que ya estaba siendo reemplazado. No lo estaba. WordPress, plataformas de comercio electrónico heredadas, portales gubernamentales, sistemas hospitalarios: la lista de infraestructura crítica que aún depende de PHP es larga y poco glamorosa, y esa es precisamente la razón por la que es peligrosa.
Las vulnerabilidades anunciadas el 21 de octubre no eran problemas de casos límite. Eran defectos fundamentales en el lenguaje mismo, presentes durante más de dos décadas, que requerían una cadena de exploit tan intrincada que los investigadores humanos podían ver el camino pero nunca recorrerlo.
Investigadores de la plataforma de seguridad con IA Wiz lo calificaron como “entre las vulnerabilidades más graves descubiertas en PHP, y discutiblemente en toda la historia del software”. La palabra importa. “Discutiblemente” es un matiz, pero en este contexto está haciendo trabajo pesado —porque la gravedad no depende de si la comparas con SQL Slammer en 2003 o con el ataque a SolarWinds. Depende de lo que ocurra cuando llegue la siguiente ola de herramientas que no solo encuentren estas cadenas, sino que las ejecuten de forma autónoma.
Los números que deberían quitarte el sueño
Matthew Prince, CEO de Cloudflare, documentó cómo la superficie de ataque se expandía en tiempo real. En las diez horas anteriores al anuncio público de la vulnerabilidad, Cloudflare registró evidencia de miles de intentos de explotación. Cuarenta y cinco minutos después del anuncio, la cifra saltó a decenas de miles. Dos horas después: cientos de miles. Para cuando Prince publicó su mensaje, el número estaba en millones.
Esa velocidad —de miles a millones en menos de tres horas— no es solo impresionante. Es el punto de partida de lo que viene después.
La NSA advirtió que este vector de acceso podría ayudar a los atacantes a robar datos sensibles, interrumpir servicios o adentrarse más en las redes. En lenguaje claro: esto no es una vulnerabilidad que se parchea y se olvida. Es una puerta que, una vez abierta, no se cierra.
“El cielo se está cayendo” y nadie puede arreglarlo lo suficientemente rápido
Sam Altman lo dijo con crudeza la noche del jueves: “Ya no creo que podamos parchear todos los errores”. Esa no es la declaración de alguien que se ha rendido. Es la declaración de alguien que acaba de ver cómo cambiaban las matemáticas.
Jason Clinton, vicepresidente de seguridad de la información de Anthropic, predicó un “tsunami de vulnerabilidades” en los próximos meses. Marc Benioff lo llamó “alerta roja”. Prince escribió que los próximos dos años serían “increíblemente, increíblemente, increíblemente conflictivos”, con herramientas que tienen “paciencia infinita” para cazar debilidades por todo internet.
La repetición en el lenguaje de Prince no es estilismo. Es el equivalente verbal de alguien tratando de convencerse de que no está restándole importancia al problema.
Esto es lo que comparten esas advertencias: no se trata de una vulnerabilidad específica. Se trata del ritmo al que se descubrirán nuevas vulnerabilidades y de la imposibilidad de defenderse de ese ritmo con la infraestructura de seguridad actual. Un equipo de investigación humano puede pasar meses en una sola cadena de exploit. Un sistema de IA puede ejecutar millones de ellas en paralelo, por siempre, sin cansarse.
Quiénes ganan, quiénes pierden y qué pasa después
Los ganadores en este escenario son los actores con más capacidad de cómputo y menos restricciones. Eso incluye a estados-nación, al cibercrimen organizado y a investigadores éticos bien financiados que corren contra el reloj. No incluye a las pequeñas empresas que ejecutan pilas PHP sobre frameworks desactualizados, a los hospitales que dependen de sistemas heredados, ni a nadie que parcheó su sitio web el martes pasado.
Los perdedores son todos los que asumieron que el historial de seguridad de PHP a lo largo de décadas significaba que PHP era seguro. No lo era. Solo significaba que nadie tenía las herramientas para demostrar lo contrario hasta ahora.
Lo que viene después es la pregunta más difícil. La respuesta inmediata —parches de emergencia, cierres temporales de sitios, alertas de la NSA— es el protocolo que todos conocen. La pregunta es si ese protocolo escala a un mundo donde nuevas vulnerabilidades críticas se descubren a velocidad de máquina.
La advertencia de Clinton de que no habrá tiempo suficiente para parchear la infraestructura crítica no es alarmismo. Es un pronóstico basado en la trayectoria observada. Si la vulnerabilidad de PHP es algún indicio, la ventana entre descubrimiento y explotación masiva se mide en horas, no en semanas. La industria de la seguridad nunca ha respondido a esa velocidad, y no hay razón evidente para que lo haga ahora.
La segunda crisis está en camino. Solo que aún no sabemos cómo se ve.