La crisis comenzó en agosto, cuando equipos de investigación independientes de Wiz y Calif, trabajando con modelos avanzados de IA, descubrieron fallas relacionadas ocultas en el código central de PHP durante más de una década. Los errores podrían dar a un externo control a nivel de comandos sobre un servidor web sin parchear, una perspectiva grave para un lenguaje que se estima sustenta alrededor del 70 % de la web.¹

Para los investigadores, esto fue una prueba de que la IA puede reforzar el lado defensivo. El investigador de Wiz Sagi Tzadik afirmó que los agentes pueden comprimir «meses de investigación tradicional» en días o incluso horas, aunque los humanos aún tuvieron que dedicar días a comprender y reproducir el error.¹ Los mantenedores de PHP, empresas de seguridad rivales y otros especialistas dedicaron luego semanas a trabajar en un parche bajo divulgación coordinada.

Ese proceso ordenado se fracturó esta semana. Los detalles comenzaron a circular antes del lanzamiento previsto, y la PHP Foundation afirmó que Chainguard había «roto unilateralmente el embargo», perturbando semanas de coordinación.² El director ejecutivo de Chainguard, Dan Lorenc, dijo que actuó porque creía que la explotación ya estaba en curso; otros cuestionaron esa evaluación. El resultado fue la pesadilla que los defensores habían esperado evitar: pistas públicas, correcciones incompletas y una lista de objetivos que se expandía rápidamente.

Cloudflare registró miles de intentos de explotación antes del anuncio, luego decenas de miles en 45 minutos, cientos de miles en dos horas y, finalmente, millones. Gobiernos y empresas, desde Europa hasta Asia, desconectaron servicios mientras aplicaban actualizaciones.³ Para el jefe cibernético neerlandés Matthijs van Amelsfort, la receta inmediata fue brutalmente simple: «parchear, parchear y parchear».²

Los funcionarios subrayaron que los intentos no son intrusiones confirmadas, y que los visitantes comunes no necesitan parchear sus teléfonos simplemente por navegar en un sitio PHP. El riesgo urgente recae en los operadores de sitios web: un servidor sin parchear podría exponer datos, ser alterado o convertirse en una plataforma de lanzamiento para ataques en otros lugares.⁴

La respuesta ya se está convirtiendo en un producto. Aravind Srinivas dijo que se ofrecían créditos de Computer para comprobar la exposición de los sitios a PHP, un ejemplo de cómo la IA se orienta tanto a la limpieza como al descubrimiento.Aravind Srinivas (AravSrinivas)⁵ Sin embargo, la advertencia más profunda permanece: OpenAI espera que hallazgos similares aumenten considerablemente, mientras que el encargado de parches de PHP Ondřej Surý calificó esto de «desastre a la espera de ocurrir» desde hace mucho tiempo.⁶