Una IA encontró una falla PHP de hace una década. Ahora cierran
Una herramienta de IA descubrió dos vulnerabilidades críticas PHP que llevaban más de una década ocultas, provocando el cierre de emergencia de sitios gubernamentales en Europa. El hallazgo revela una nueva carrera de armamentos y una infraestructura digital rota que no se arregla solo con código.
La paradoja del descubrimiento instantáneo
Una herramienta de IA encontró una falla en PHP que permaneció indetectada por más de una década. Luego también hizo trivialmente más fácil para cualquier persona que quisiera convertir esa falla en un arma.
Ese es el núcleo de la tensión que vivimos esta semana. El 21 de agosto, los desarrolladores de PHP liberaron parches de emergencia para dos vulnerabilidades críticas —denominadas PHP2Shell— calificadas con 9.2 de 10 en la escala CVSS. En cuestión de horas, los portales gubernamentales de los Países Bajos se apagaron. Hospitales, escuelas y autoridades portuarias en Dinamarca, Finlandia, Alemania y Austria los siguieron. El gobierno de EE.UU. movilizó agencias federales y equipos de protección de infraestructura crítica para impulsar los parches.
Nadie había sido hackeado aún —al menos nadie lo admitió— Pero el panorama de amenazas cambió en un solo día.
Quién maneja realmente la web
Esto es lo que la mayoría de la cobertura en inglés pasa por alto: PHP impulsa aproximadamente el 70 % de todos los sitios web. WordPress, que gestiona cerca del 40 % de Internet, depende por completo de él. Drupal, Joomla: todo es PHP. Este no es un lenguaje de nicho usado por aficionados. Es el sistema operativo de la web pública, y es antiguo.
Las dos vulnerabilidades PHP2Shell permiten la ejecución de comandos sin autenticación en los servidores. Un atacante no necesita cuenta, ni contraseña, ni acceso especial. Envía una solicitud cuidadosamente construida y, de pronto, posee la máquina. Exfiltración de datos, modificación del sitio, toma total del sistema: todo está disponible para quien pueda crear la exploit primero.
El error ha estado en el código de PHP durante más de diez años. Encontrarlo requirió no solo leer ese código, sino comprender una cadena excepcionalmente compleja de condiciones que vinculan un fallo del lado del servidor con la ejecución real de código remoto. Esa cadena es la que mantuvo a los atacantes alejados de ella durante una década.
El cortocircuito de la IA
Aquí es donde la historia se vuelve nueva.
Una empresa de seguridad llamada Calif usó GPT-5.6 Sol de OpenAI para identificar la vulnerabilidad y la reportó en agosto. Wiz, la filial de seguridad de Alphabet, confirmó de manera independiente el mismo problema usando sus propias herramientas de IA junto con Gemini 4 Argon y GPT-5.6 Sol.
Wiz lo dijo con crudeza: un equipo global de investigación que habría tomado meses resolver este problema fue superado por un solo investigador que trabajó aproximadamente una semana. La IA no reemplazó la experiencia humana. Eliminó la fricción que separaba la curiosidad de la capacidad.
Eso importa porque los mismos modelos están disponibles para todos. Los atacantes ya no necesitan habilidades de ingeniería inversa de nivel doctoral. Necesitan prompts.
El fallo estructural
La Fundación PHP reconoció algo incómodo. En 2024, los desarrolladores detectaron señales de una vulnerabilidad en el código de PHP. No pudieron rastrear la ruta de ataque específica. No lograron ponerse de acuerdo sobre una solución. La fundación lo llamó un “fallo estructural”: recursos insuficientes, procesos de toma de decisiones poco claros y una tubería de mantenimiento ya tensionada.
Esta no es una historia sobre un desarrollador perezoso que saltó una línea de código. Es la historia de un ecosistema completo que no ha acompañado su propia escala. PHP es de código abierto y gratuito, pero la infraestructura gratuita requiere mantenimiento financiado. Esa financiación ha sido, como mucho, inconsistente.
Cuando los detalles de PHP2Shell y los videos de prueba de concepto filtrados antes de la fecha de divulgación programada, los desarrolladores adelantaron el lanzamiento del parche un día: al 21 de agosto. Intentaron mantenerse al frente. Pero al hacerlo, también entregaron a los atacantes información temprana sobre exactamente qué estaban corrigiendo y cómo.
La carrera que siguió
Cloudflare reportó haber observado intentos de ataque iniciales inmediatamente después de la liberación del parche. El CISA declaró que aún no había confirmado ninguna intrusión exitosa. Esa brecha entre observación y confirmación es donde se desarrollarán las próximas semanas. Cada servidor que ejecuta una versión sin parchear de PHP es una puerta dejada abierta en un edificio que todos ahora saben how abrir.
Sensis, una firma de análisis de infraestructura web, encontró que de aproximadamente 2.6 millones de hosts que observó, unos 1.5 millones estaban ejecutando versiones de PHP que no pueden recibir la solución en absoluto. Se trata de servidores en versiones descontinuadas sin ruta de actualización, a menudo ejecutándose en sistemas operativos obsoletos, gestionados por organizaciones que carecen de personal o experiencia para migrar.
Ese número de 1.5 millones es la verdadera historia. Los sitios gubernamentales que se apagaron en Europa son los síntomas visibles. Los 1.5 millones de hosts inalcanzables son la enfermedad.
Quién gana. Quién pierde.
Los ganadores en este escenario son los vendedores de seguridad con IA: Calif, Wiz y las empresas que construyen herramientas similares, que podrán demostrar que su enfoque funciona a escala. Sus clientes obtendrán defensas más sólidas. El mercado para el descubrimiento de vulnerabilidades asistido por IA se expandió de la noche a la mañana.
Los perdedores son las miles de organizaciones que ejecutan PHP heredado en servidores fuera de vida útil, muchas de ellas en el sector público, salud y educación. Estas son las instituciones que no pueden simplemente montar una nueva pila. Tienen migraciones de datos, requisitos de cumplimiento y presupuestos que nunca estuvieron diseñados para infraestructura tan profunda.
Los gobiernos están atrapados en el medio. Las respuestas de Países Bajos, Alemania, Finlandia y Dinamarca —poner sitios fuera de línea de forma proactiva— fueron la decisión correcta. Pero apagar un sitio web no es lo mismo que asegurarlo. Un portal gubernamental que no existe no puede ser hackeado, pero tampoco puede servir a los ciudadanos.
Qué sucede después
La presión inmediata es clara: verificar si tu PHP está actualizado, aplicar el parche y confirmar la instalación. Las actualizaciones automáticas de WordPress no cubren esto. El propio entorno de ejecución de PHP a nivel de servidor debe actualizarse. Para los 1.5 millones de hosts en versiones sin soporte, no hay parche. La única opción es la migración: pasar a una versión de PHP con soporte, lo que a menudo requiere cambios de código a nivel de aplicación que las organizaciones pequeñas simplemente no pueden absorber a corto plazo.
La NSA y las agencias de seguridad europeas recomiendan que las organizaciones incapaces de parchear rápidamente bloqueen el acceso externo a los sistemas afectados hasta que puedan verificar la corrección. El NCSC del Reino Unido está aconsejando a las agencias que revisen señales de intrusiones previas. Ambas son reacciones a una amenaza que existe únicamente porque el descubrimiento superó a la defensa.
Este patrón se repetirá. Las herramientas de IA ahora están encontrando vulnerabilidades de hace décadas en código ampliamente desplegado más rápido que cualquier equipo de investigación humana podría. Los vendedores no pueden parchear lo suficientemente rápido para mantenerse al frente de la curva de descubrimiento. Los atacantes que llegan primero a una vulnerabilidad ganan una ventana medida en horas, no en meses.
El episodio PHP2Shell no es una anomalía. Es una Vista previa.