Los problemas comenzaron en agosto, cuando investigadores de Calif y Wiz, propiedad de Google, utilizaron por separado sistemas de IA para analizar PHP, el lenguaje con décadas de antigüedad detrás de WordPress, Drupal y, según algunas estimaciones, aproximadamente el 70 % de los sitios web. Calif utilizó GPT-5.6 Sol de OpenAI; Wiz combinó su agente Atlas con Gemini 4 Argon y GPT-5.6 Sol. Su descubrimiento: dos fallos críticos, denominados colectivamente PHP2Shell, que podrían permitir a un atacante no autenticado ejecutar código en un servidor vulnerable.¹

Los errores llevaban años en PHP, en parte porque crear un exploit antes requería una cadena inusualmente compleja de pasos técnicos. La advertencia de Wiz fue contundente: la IA ahora puede adaptar un exploit a «diferentes versiones de PHP, configuraciones y diseños de memoria».² Eso convirtió la divulgación coordinada menos en una actualización rutinaria de software que en una carrera contra el reloj.

Cuando los detalles se filtraron antes de la publicación prevista, la Fundación PHP aceleró los parches para el miércoles por la mañana. Se indicó a gobiernos y empresas que actualizaran de inmediato o desconectaran los sistemas. La primera ministra de Japón, Sanae Takaichi, pidió medidas urgentes y afirmó que la suspensión temporal podría ser una forma eficaz de reducir el riesgo cuando era imposible aplicar parches rápidamente.³

Los cierres se extendieron desde servicios públicos finlandeses y neerlandeses hasta sitios del gobierno británico, mientras las empresas afrontaban la misma interrupción. Para Kalle Pusa, en Helsinki, incluso organizar la recogida de un sofá viejo tuvo que esperar: los servicios digitales esenciales, dijo, están «entrelazados en el tejido de nuestra sociedad», y ese tejido se había desgarrado.⁴

Los atacantes se movieron rápido. Cloudflare registró miles de intentos de explotación antes de la divulgación, luego decenas de miles en 45 minutos, cientos de miles en dos horas y, finalmente, millones.⁴ Sin embargo, el panorama siguió siendo objeto de disputa: la Fundación PHP dijo no tener pruebas de exploits funcionales, mientras que la telemetría de Amazon informó de un intento de explotación de PHP2Shell antes del parche.⁵

Para los usuarios, la carga inmediata recae en los operadores de sitios, aunque especialistas en seguridad advierten que los servicios comprometidos podrían exponer datos personales. Ya se está comercializando una respuesta práctica: Aravind Srinivas dijo que Computer ofrecía créditos para comprobar vulnerabilidades de PHP, con una herramienta que analiza sitios y configuraciones de despliegue y prioriza las correcciones.Aravind Srinivas (AravSrinivas)⁶