Los orígenes de la emergencia se remontan a años atrás. Uno de los problemas subyacentes había sido señalado a la Fundación PHP en 2024, pero no se aplicó ninguna corrección; la fundación calificó posteriormente esa omisión como un «fallo estructural» en su proceso de seguridad.¹ Los fallos permanecieron ocultos en PHP, el lenguaje web utilizado por aproximadamente el 70 % de los sitios, en parte porque explotarlos requería una cadena inusualmente compleja de pasos técnicos.

Eso cambió a mediados de agosto, cuando investigadores de Calif que utilizaban GPT-5.6 Sol de OpenAI y un equipo independiente de Wiz que empleaba herramientas de IA descubrieron dos vulnerabilidades críticas, posteriormente denominadas PHP2Shell. Los errores podrían permitir la ejecución remota de código sin autenticación, lo que en la práctica permitiría a un intruso tomar el control de un servidor, acceder a datos o modificar un sitio web sin contraseña. OpenAI presentó el resultado como prueba de que «la IA de frontera encontró estas vulnerabilidades antes que los atacantes», aunque reconoció que las mismas capacidades pueden producir rápidamente herramientas ofensivas.²

La ventaja protectora se evaporó esta semana. Un video de prueba de concepto se publicó accidentalmente el martes, los detalles se difundieron en internet y PHP adelantó de jueves a miércoles el lanzamiento previsto de su parche. La NSA instó a los operadores a aplicar el parche de inmediato o desconectar los sistemas; sitios gubernamentales en Europa, junto con servicios que van desde Internet Archive hasta juegos antiguos, quedaron temporalmente fuera de línea. Amazon afirmó haber detectado un intento de explotación cuatro días antes de la divulgación pública y advirtió que los fallos estaban siendo «ampliamente explotados en la naturaleza».³

Esa es la tensión central: la IA pudo haber detectado el peligro antes que los delincuentes, pero también hace que replicarlo sea mucho más rápido. Los investigadores de seguridad dicen que el antiguo ciclo de semanas para desarrollar exploits se ha comprimido considerablemente; los propietarios de sitios web se enfrentan ahora a una elección tajante entre actualizaciones rápidas e interrupciones del servicio. Para los usuarios comunes, el riesgo inmediato es indirecto —los servicios comprometidos pueden exponer credenciales y datos de pago—, por lo que los expertos recomiendan contraseñas únicas, autenticación de dos factores y estar atentos a los avisos de filtraciones.⁴

Mientras continuaba la carrera por aplicar parches, las empresas de IA también convirtieron el incidente en un mercado de remediación. Aravind Srinivas dijo que Computer estaba ofreciendo créditos para verificar la exposición de sitios PHP y configuraciones de despliegue de GitHub, lo que subraya cómo el escaneo automatizado se está convirtiendo tanto en parte de la respuesta como de la amenaza.Aravind Srinivas (AravSrinivas)⁵