Investigadores de Calif y Wiz de Google identificaron dos vulnerabilidades críticas en PHP, el lenguaje web detrás de aproximadamente el 70% de los sitios web, utilizando una combinación de herramientas avanzadas de IA. Los fallos, presentes durante años en la base de código de PHP, podrían permitir que un atacante no autenticado ejecutara código en un servidor y accediera a archivos o bases de datos.¹

El descubrimiento se presentó inicialmente como un ejemplo de la IA llegando al fallo antes que nadie. OpenAI dijo que los modelos de frontera habían encontrado los fallos antes que los atacantes y ayudado a los investigadores a validar las correcciones. Sin embargo, también advirtió que la misma capacidad podría ayudar a los atacantes a construir rápidamente herramientas ofensivas, una tensión en el centro de la respuesta.²

Para el martes, esa respuesta ya estaba bajo presión. Según informes, un video de prueba de concepto que demostraba una cadena de explotación fue publicado brevemente en internet, acelerando en un día el lanzamiento previsto de parches de la PHP Foundation. El miércoles llegaron los parches y la NSA dijo a las organizaciones que ejecutan PHP que actualizaran de inmediato o desconectaran los sistemas afectados.³

Esa advertencia provocó interrupciones, ya que gobiernos y otros operadores en Europa y Estados Unidos retiraron temporalmente sitios para aplicar parches. La primera ministra de Japón, Sanae Takaichi, pidió actuar esa noche y afirmó que suspender sitios web podría reducir el riesgo cuando no fuera posible una corrección rápida.⁴

La disputa más importante gira en torno a si la carrera ya se ha perdido en algunos lugares. Amazon dijo que detectó un intento de explotación cuatro días antes de la divulgación pública y que los fallos «ahora están siendo ampliamente explotados en entornos reales».⁵ Sin embargo, la PHP Foundation afirmó que no había visto pruebas de exploits funcionales, sino únicamente código generado incompleto o no funcional.³

Mientras las empresas se apresuran, también entran en juego herramientas comerciales: Aravind Srinivas dijo que los usuarios podrían recibir créditos para comprobar la exposición de sistemas PHP y configuraciones de despliegue de GitHub.Aravind Srinivas (AravSrinivas)⁶ La tarea inmediata es mundana pero enorme: aplicar parches rápido o quedarse a oscuras.