En agosto, investigadores de Calif, en colaboración con OpenAI y Wiz de Google, utilizaron de forma independiente sistemas avanzados de IA para descubrir fallos relacionados en PHP, el lenguaje web que se estima sustenta aproximadamente el 70 % de los sitios web. En Wiz, un agente de IA encontró la vulnerabilidad de PHP mientras probaba si un problema de WordPress podía afectar a Drupal, un aparente error que resultó ser real. «Los modelos tienden a alucinar», dijo el investigador Sagi Tzadik, pero este había expuesto un error que había sobrevivido durante más de una década.¹

Los equipos informaron de los defectos y se unieron a los mantenedores de PHP en un esfuerzo coordinado para crear una solución. El trabajo fue inusualmente colaborativo: aproximadamente 15 investigadores de organizaciones competidoras intercambiaban hallazgos casi a diario, dijo Tomer Schwartz de Wiz, en un proceso «basado únicamente en la confianza».¹ Su logro también conllevaba su propia advertencia: la IA puede comprimir meses de investigación de vulnerabilidades en días o incluso horas, otorgando a los atacantes la misma aceleración una vez que los detalles se hacen públicos.

Esa presión llegó antes del lanzamiento previsto. Las noticias sobre las vulnerabilidades se difundieron en línea, lo que obligó a los mantenedores de PHP a adelantar el parche. Un video de Calif que demostraba inadvertidamente la explotación ayudó entonces a impulsar actividades de imitación. Cloudflare registró miles de intentos de explotación antes de la divulgación; en 45 minutos, la cifra había alcanzado decenas de miles, luego cientos de miles en dos horas y, finalmente, millones.²

Para el miércoles y el jueves, gobiernos y empresas desde Helsinki hasta Nueva York estaban desconectando servicios mientras aplicaban actualizaciones. Reino Unido dijo que 32 servicios gubernamentales fueron cerrados como medida de precaución, mientras que la disrupción en Finlandia afectó tareas cotidianas. «Podría decirse que gran parte del tejido se ha desgarrado», afirmó el desarrollador de Helsinki Kalle Pusa sobre la dependencia de los servicios públicos en línea.³

La respuesta defensiva rápidamente se volvió comercial y práctica: el director ejecutivo de Perplexity, Aravind Srinivas, dijo que su empresa ofrecía créditos para verificaciones que identifican sitios PHP expuestos y priorizan las reparaciones.Aravind Srinivas (AravSrinivas)⁴ Sin embargo, los profesionales de la seguridad sostienen que aplicar parches por sí solo no puede seguir el ritmo. Un experto advirtió que la IA permite incluso a atacantes con poca habilidad explotar fallos importantes «en cuestión de minutos», rompiendo el ciclo tradicional de corrección.⁵

La división es más marcada para las organizaciones pequeñas. El exfuncionario estadounidense de ciberseguridad Chris Krebs instó a las empresas a escanear continuamente, aplicar parches con rapidez o desconectar los sistemas heredados; las grandes empresas pueden contar con herramientas avanzadas, pero los negocios más pequeños pueden tener dificultades para responder.⁶ PHP2Shell fue contenido antes de una catástrofe, pero hizo más fácil imaginar la próxima carrera.