PHP2Shell no surgió de la nada. Dos años antes de la alarma de esta semana, un investigador identificó un fallo con la misma causa raíz y dijo que se había notificado a la Fundación PHP, pero no se implementó ninguna corrección. La fundación calificó posteriormente esa omisión como un «fallo estructural» vinculado a su proceso de toma de decisiones y a la falta de recursos.¹

A mediados de agosto, investigadores de Calif y Wiz, propiedad de Google, habían descubierto dos vulnerabilidades críticas de PHP usando herramientas de IA, incluido GPT-5.6 Sol de OpenAI. Los fallos, cada uno calificado con 9,2 sobre 10, podrían permitir que un intruso no autenticado ejecute código de forma remota en un servidor PHP, una perspectiva inquietante para un lenguaje utilizado por aproximadamente el 70 % de los sitios web con programación del lado del servidor conocida.¹

El descubrimiento inicialmente pareció una victoria defensiva. OpenAI dijo: «Hasta donde sabemos, una IA de frontera encontró estas vulnerabilidades antes que los atacantes», al tiempo que advertía que las mismas capacidades podrían ayudar a los atacantes a crear rápidamente herramientas ofensivas.² Esa dualidad se convirtió en la tensión central de la historia: la IA había expuesto una debilidad oculta durante mucho tiempo, pero la divulgación y los parches también podrían dar a los atacantes un plano de ataque.

El martes, Calif publicó accidentalmente un vídeo de explotación de prueba de concepto, lo que aceleró un lanzamiento que estaba previsto para el jueves. La Fundación PHP publicó los parches 24 horas antes, el miércoles. Para entonces, había aparecido en GitHub código que afirmaba explotar PHP2Shell, aunque la fundación dijo no haber visto pruebas de un exploit público funcional y describió el código generado que circulaba como incompleto o no funcional.¹

Los gobiernos trataron el riesgo como inmediato. La NSA instó a las organizaciones a aplicar los parches de inmediato o desconectar los sistemas; algunos sitios web públicos europeos quedaron fuera de servicio mientras los operadores trabajaban. Su advertencia fue tajante: estos fallos pueden ofrecer «una vía directa al sistema de archivos o a la base de datos del servidor».²

La carrera quizá ya haya comenzado. Amazon afirmó que detectó un intento de explotación cuatro días antes de la divulgación pública y que las vulnerabilidades «ahora están siendo ampliamente explotadas en entornos reales».² Las herramientas comerciales también se sumaron rápidamente a la respuesta: Aravind Srinivas dijo que los usuarios podían recibir créditos para comprobar la exposición a PHP, mientras promocionaba una herramienta que prioriza las correcciones.Aravind Srinivas (AravSrinivas)³

El episodio deja una lección más difícil que simplemente aplicar parches a PHP: la IA puede dar a los defensores la primera visión de la próxima crisis, pero también está reduciendo el intervalo antes de que todos los demás se pongan al día.