Grave: la IA detectó un fallo que pone en riesgo al 70% de las páginas web

Las autoridades de ciberseguridad reaccionaron de inmediato. El Instituto Nacional de Ciberseguridad (Incibe) recomendó actualizar cuanto antes los sistemas y recomendó medidas temporales para quienes no puedan instalar las nuevas versiones. La Agencia de Seguridad Nacional de Estados Unidos fue en la misma línea y remarcó que "todas las organizaciones que utilicen PHP en sus sistemas deben prepararse para instalar una actualización que corrija dos vulnerabilidades críticas".

La Oficina Federal de Seguridad en las Tecnologías de la Información de Alemania advirtió que "en estos momentos, unas vulnerabilidades críticas en el lenguaje de programación PHP suponen una amenaza para las aplicaciones web de todo el mundo". En Países Bajos, numerosas instituciones públicas, empresas y medios desconectaron sus portales, y Japón emitió una alerta similar. También hubo suspensiones temporales en sitios oficiales de Francia, Dinamarca y Finlandia, en la Fundación Wikimedia y en el medio irlandés The Journal.

Los detalles del fallo que pone en jaque a las páginas web

El problema se conoce como PHP2Shell y agrupa dos vulnerabilidades críticas vinculadas a la forma en que PHP gestiona la memoria de un ordenador. Los atacantes podrían usarlas para ejecutar software no autorizado en cualquier servidor web sin parchear, acceder a los sitios y leer datos almacenados en la memoria, como contraseñas. Según Cloudflare, también permitirían interrumpir servicios y exponer información de los usuarios.

Esas fallas permanecieron ocultas en el código durante más de una década. Fueron descubiertas a fines de agosto por equipos de OpenAI, la firma de ciberseguridad Wiz y otra empresa del sector, y se hicieron públicas recién cuando la PHP Foundation desarrolló una solución.

OpenAI explicó que lideró durante dos meses una coalición de investigadores y proveedores de seguridad, y detalló que "los responsables del mantenimiento de PHP lideraron el desarrollo de las correcciones y su publicación, mientras que nuestros equipos y socios como Wiz, Cloudflare y otros participantes contribuyeron con investigaciones, asistencia técnica y coordinación para preparar las medidas de protección antes de que se hicieran públicas las vulnerabilidades".

Wiz considera que el episodio marca un "punto de inflexión de la IA". Sus investigadores señalaron que "lo que cambió la IA fue la capacidad de comprender las debilidades y convertirlas en un exploit funcional". Y agregaron que "gracias a los modelos de IA de vanguardia y a las herramientas adecuadas, un solo investigador logró en una semana lo que, anteriormente, habría requerido meses de trabajo por parte de un equipo de primer nivel". Durante la investigación se emplearon Gemini 4 Argon, Wiz Atlas y GPT-5.6 Sol.

Los especialistas de Wiz comparan el caso con Heartbleed, la vulnerabilidad de 2014 que afectó a una tecnología de cifrado usada por dos tercios de la web. Explicaron que "los fallos subyacentes habían estado presentes durante décadas, pero demostrar que podían ser explotados requería una cadena de pasos excepcionalmente compleja, que rozaba los límites de lo que los investigadores humanos podían lograr en la práctica". Según su análisis, la inteligencia artificial redujo esa barrera y volvió viable la explotación.