A mediados de agosto, investigadores de la empresa de IA Calif y de Wiz, propiedad de Google, identificaron dos fallas graves en PHP, el lenguaje con décadas de antigüedad utilizado por aproximadamente el 70% de los sitios web con programación conocida del lado del servidor. Los errores podrían permitir la ejecución remota de código sin autenticación, lo que en la práctica permitiría a un intruso ejecutar código en un servidor vulnerable. Calif utilizó GPT-5.6 Sol de OpenAI; Wiz utilizó una combinación de herramientas de IA. ¹

El peligro no era simplemente que PHP fuera vulnerable, sino que una debilidad que se cree que existía desde hacía unas dos décadas se había vuelto mucho más fácil de convertir en un arma. Wiz afirmó que la explotación antes requería una «cadena de pasos excepcionalmente compleja», cerca del límite de lo que los investigadores humanos podían lograr. ² Los expertos en seguridad sostienen ahora que la IA ha reducido el antiguo margen entre la divulgación y el ataque: el investigador de Tolmo Matt Suiche dijo que su equipo desarrolló un exploit funcional en menos de un día, una tarea que antes podría haber llevado semanas. ¹

Entonces se aceleró la carrera por la divulgación. Los detalles se filtraron en línea antes del lanzamiento previsto, Calif publicó brevemente un video de prueba de concepto y la Fundación PHP adelantó su parche un día. Amazon Threat Intelligence ya había observado un intento de explotación días antes; Cloudflare informó posteriormente que los ataques aumentaron de miles antes de la divulgación a millones después. ³

Para el miércoles y el jueves, la respuesta defensiva se hizo visible para los usuarios comunes. Gobiernos de Finlandia, los Países Bajos, Gran Bretaña, Alemania y Japón desconectaron servicios o instaron a las empresas a hacerlo; negocios y plataformas siguieron el ejemplo mientras se instalaban los parches. Para las grandes instituciones, un asesor de pequeñas empresas calificó la interrupción como un «bache»; para las compañías más pequeñas, las interrupciones duraron hasta siete horas. ⁴

El consenso fue aplicar parches primero, pero no entrar en pánico. La Fundación PHP dijo que no tenía pruebas de ejecución remota de código exitosa, mientras que Dataminr informó de escaneos y exploits no funcionales, en lugar de vulneraciones conocidas. ⁵ Sin embargo, los sitios heredados enfrentan una decisión más difícil: las versiones no compatibles de PHP pueden carecer de correcciones oficiales, lo que arriesga su desaparición permanente. En medio de esa carrera, Aravind Srinivas promocionó créditos gratuitos para una comprobación automatizada de exposición a PHP, otra señal de que la IA se está convirtiendo en parte del kit de reparación, además del modelo de amenazas. Aravind Srinivas (AravSrinivas)⁶