Historia
21 de oct de 2026
La IA encontró la bomba de relojería de PHP; ahora la web corre para corregirla
El descubrimiento ofrece a los defensores una inusual victoria: la IA ayudó a revelar un riesgo de décadas antes de que los delincuentes aparentemente lo encontraran. Sin embargo, el mismo episodio enfrenta a los equipos de seguridad, los gobiernos y los operadores de sitios web a una realidad más dura: las máquinas pronto podrían encontrar y convertir en armas los fallos más rápido de lo que internet puede corregirlos.
La alarma comenzó con una búsqueda asistida por IA de debilidades en PHP, el lenguaje de código abierto integrado en una enorme parte de la web. OpenAI afirmó que un investigador de Calif utilizó GPT-5.6 Sol para identificar las vulnerabilidades críticas antes que los atacantes, y luego lanzó una herramienta destinada a ayudar a los desarrolladores a identificar versiones vulnerables de PHP.1
Lo que estaba en juego quedó claro cuando los investigadores describieron lo que los fallos podían permitir: los atacantes podrían tomar el control de servidores web vulnerables sin contraseñas, abriendo una vía al robo de datos, la alteración de sitios y una disrupción más amplia. PHP se utiliza en casi el 70% de los sitios web, mientras que investigadores de Wiz calificaron los hallazgos como «entre las vulnerabilidades más graves descubiertas en PHP y, posiblemente, en la historia del software».2 El descubrimiento también agudizó una división de larga data en la ciberseguridad. OpenAI presentó la IA como una fuerza defensiva capaz de encontrar errores que los humanos pasaron por alto; profesionales de la seguridad advirtieron que esa misma capacidad puede reducir el tiempo entre la divulgación y la explotación.
Para el miércoles, ese peligro teórico se había convertido en una crisis operativa. Gobiernos y organizaciones de Europa y Estados Unidos desconectaron temporalmente sitios web mientras se apresuraban a aplicar actualizaciones de seguridad.3 Los operadores de sitios web se enfrentaron a una disyuntiva desagradable: aceptar el tiempo de inactividad y aplicar el parche de inmediato, o permanecer en línea mientras estaban expuestos a un fallo que podía ceder el control de sus sistemas.
La divulgación pública desencadenó entonces advertencias urgentes de funcionarios de todo el mundo, incluido el primer ministro de Japón, mientras que el CTO de Cloudflare, Dane Knecht, afirmó que ya estaban surgiendo «ataques tempranos» y que las mitigaciones se actualizaban a medida que aparecían nuevos vectores.4 Para los defensores, encontrar primero el error fue una ventaja crucial. La carrera para contenerlo muestra cuán estrecha puede ser esa ventaja cuando la IA acelera ambos lados de la carrera de seguridad.5