En agosto, equipos independientes de Calif y Wiz, propiedad de Google, utilizaron herramientas avanzadas de IA para sondear PHP, el lenguaje web que se estima sustenta aproximadamente el 70% de los sitios web. Lo que encontraron fueron dos vulnerabilidades críticas —más tarde bautizadas PHP2Shell— que habían permanecido ocultas durante más de una década. El investigador de Wiz Sagi Tzadik sospechó inicialmente de un error de IA: «Los modelos tienden a alucinar». Pero el exploit funcionó.¹

El descubrimiento ofreció una rara victoria defensiva. Los investigadores coordinaron en privado con la PHP Foundation y grandes empresas de infraestructura para desarrollar parches antes de hacerlo público. OpenAI calificó los fallos como «uno de los problemas de seguridad más impactantes de la memoria reciente», al tiempo que advirtió que las mismas capacidades de IA podrían ayudar rápidamente a los atacantes a desarrollar herramientas ofensivas.²

Esa ventaja comenzó a erosionarse en octubre. Amazon dijo que detectó un intento de explotación el 17 de octubre, días antes de la divulgación prevista, mientras que los informes y un video de prueba de concepto publicado accidentalmente aceleraron la carrera contrarreloj. Una vez que se difundió la noticia, Cloudflare registró miles de intentos antes de la divulgación, luego decenas de miles en 45 minutos, cientos de miles en dos horas y, finalmente, millones.³

El miércoles, la PHP Foundation publicó parches de emergencia. La NSA y otras agencias aconsejaron a las organizaciones que no pudieran actualizar de inmediato desconectar sus sistemas. Gobiernos desde Finlandia y los Países Bajos hasta Japón hicieron precisamente eso; Reino Unido dijo que 32 servicios públicos no estaban disponibles temporalmente. Para los usuarios, la interrupción fue cotidiana pero reveladora: el desarrollador de Helsinki Kalle Pusa no pudo organizar la recogida de un sofá viejo y dijo que la infraestructura digital «tejida en el tejido de nuestra sociedad» se había desgarrado.⁴

El incidente ha acentuado una división en el mundo de la ciberseguridad. Los optimistas sostienen que la IA expuso un desastre antes de que se desarrollara por completo; los operadores de sistemas antiguos y sin soporte afirman que la velocidad de la explotación asistida por IA ha roto el antiguo ciclo de parchear y planificar. A medida que llegaban apresuradamente herramientas comerciales, Aravind Srinivas promocionó créditos gratuitos para un servicio de IA que comprueba la exposición de los sitios PHP y las configuraciones de despliegue.Aravind Srinivas (AravSrinivas)⁵

Por ahora, hay parches disponibles y las vulneraciones confirmadas seguían siendo limitadas en las primeras evaluaciones. Pero PHP2Shell ha dejado clara la nueva realidad: la IA puede encontrar primero las vulnerabilidades más profundas de internet, sin garantizar que los defensores tengan tiempo suficiente para corregirlas.