Historia
23 de oct de 2026
La IA detectó el fallo de PHP, pero la antigua infraestructura de Internet recibió el golpe
Los investigadores de seguridad y los funcionarios trataron los fallos de PHP como un problema urgente de contención, mientras que los desarrolladores y las pequeñas empresas vieron la interrupción como prueba de hasta qué punto una infraestructura web frágil atraviesa la vida cotidiana. La IA proporcionó una alerta temprana, pero la respuesta dejó al descubierto una carrera entre la aplicación de parches, la divulgación y la explotación.
Investigadores de Calif y Wiz, propiedad de Google, utilizaron modelos avanzados de IA para descubrir dos vulnerabilidades críticas en PHP, el lenguaje con décadas de antigüedad que sustenta WordPress, Drupal y, según algunas estimaciones, aproximadamente el 70 % de los sitios web. OpenAI calificó el descubrimiento como «uno de los problemas de seguridad más importantes de la historia reciente», al tiempo que reconoció la tensión central: las mismas capacidades que encuentran fallos pueden ayudar a los atacantes a convertirlos en armas.1
El peligro no era totalmente teórico. Amazon afirmó haber detectado un intento de explotación cuatro días antes de la divulgación pública y más tarde advirtió que los fallos estaban siendo «ampliamente explotados en entornos reales». La respuesta de la NSA fue contundente: instalar las actualizaciones de inmediato o desconectar los sistemas hasta que puedan protegerse.2
El miércoles, la PHP Foundation publicó parches, lo que desencadenó una carrera mundial de apagados y actualizaciones. Reino Unido dijo que 32 servicios gubernamentales quedaron fuera de línea como medida de precaución; los portales neerlandeses de identidad digital y servicios públicos se vieron afectados; y sitios de Alemania, Japón y Finlandia también dejaron de funcionar. En Helsinki, el desarrollador Kalle Pusa describió el impacto humano de la interrupción: los servicios están «entretejidos en el tejido de nuestra sociedad» y, durante dos días, «se podría decir que gran parte de ese tejido se desgarró».3
Para los defensores, la prioridad era la velocidad. El CEO de Cloudflare, Matthew Prince, dijo que los intentos de explotación observados pasaron de miles antes de la divulgación a millones después, lo que subraya el poco tiempo que tenían los administradores para actuar.3 Sin embargo, Dataminr informó que, hasta la tarde del jueves, había observado escaneo, identificación de huellas y exploits que no funcionaban, pero «ningún compromiso conocido», un recordatorio de que las interrupciones preventivas buscaban evitar una catástrofe, no demostrar que todos los servicios ya hubieran sido vulnerados.4
Las consecuencias fueron desiguales. Las grandes organizaciones podían considerar una interrupción como un «pequeño obstáculo», dijo Alistair Greaves, proveedor de servicios para pequeñas empresas del Reino Unido; las compañías más pequeñas, incluida la suya, perdieron servicios durante hasta siete horas.3 Las implementaciones antiguas y sin soporte de PHP afrontan una elección más dura: aplicar parches si es posible o, potencialmente, desaparecer.
La respuesta también se está automatizando. Aravind Srinivas dijo que su empresa ofrecía créditos para una herramienta que verifica la exposición de sitios PHP y configuraciones de despliegue de GitHub y prioriza las correcciones.
5 Pero un análisis planteó la lección más amplia de forma contundente: los defensores obtuvieron esta vez una ventaja inicial asistida por IA; los incidentes futuros podrían dejar mucho menos margen entre el descubrimiento y el ataque.6