Historia
27 de oct de 2026
La IA encontró una falla de PHP en toda la web; luego Internet tuvo horas para reaccionar
La crisis PHP2Shell ofreció la paradoja más inquietante de la IA hasta ahora: ayudó a los defensores a descubrir una amenaza enterrada durante mucho tiempo, al tiempo que aceleró drásticamente la carrera por explotarla y parchearla. Los funcionarios consideraron los cierres una protección prudente; los investigadores advirtieron que la verdadera debilidad era una Internet que todavía se construye sobre código antiguo y con recursos insuficientes.
En agosto, investigadores de Calif y Wiz de Google utilizaron modelos avanzados de IA para descubrir fallas relacionadas en PHP, el lenguaje con décadas de antigüedad que se estima sustenta aproximadamente el 70% de los sitios web. Los errores podían permitir la ejecución remota de código sin autenticación, lo que en la práctica daba a un atacante control mediante línea de comandos de un servidor sin parchear.1
Para los defensores, el descubrimiento fue una victoria ajustada. El investigador de Wiz Sagi Tzadik inicialmente dudó del hallazgo de la IA porque «los modelos tienden a alucinar», pero el exploit funcionó. Sostuvo que la IA está acelerando el descubrimiento de vulnerabilidades: «meses de investigación tradicional condensados, digamos, en días».2 Sin embargo, esa misma aceleración agudizó el peligro una vez que los hallazgos escaparon del control.
Para mediados de octubre, los detalles comenzaron a circular antes de la publicación prevista del parche. Se publicó brevemente un video de prueba de concepto, la PHP Foundation adelantó su lanzamiento y los atacantes comenzaron a sondear. Cloudflare registró miles de intentos antes de la divulgación, luego decenas de miles en 45 minutos, cientos de miles en dos horas y, finalmente, millones.3
Eso provocó una respuesta preventiva extraordinaria el miércoles y el jueves. Gobiernos y empresas, desde Finlandia hasta Japón, desconectaron sitios mientras instalaban correcciones; Reino Unido afirmó que 32 servicios públicos estuvieron temporalmente no disponibles. Para los operadores de sistemas heredados, la elección era clara: aplicar parches de inmediato o desconectarse. El jefe cibernético neerlandés Matthijs van Amelsfort resumió la solución en tres palabras: «parchear, parchear y parchear».4
El riesgo para el público era más limitado de lo que sugería la alarma: simplemente visitar un sitio PHP vulnerable no infectaba el dispositivo de un usuario. Pero un servidor comprometido podía exponer datos, alterar sitios o convertirse en una plataforma de lanzamiento hacia redes más amplias. Las primeras evaluaciones detectaron principalmente escaneos y exploits fallidos, mientras que una posterior republicación en X que citaba actividad de honeypots indicó que se había observado explotación en la práctica, con atacantes emitiendo comandos de shell para descargar cargas útiles.
5
El episodio no llegó a convertirse en una catástrofe para toda la web porque había un parche disponible. También expuso el nuevo desequilibrio de la era de la IA: los defensores pueden encontrar primero más fallas, pero cada filtración convierte la divulgación coordinada en una cuenta regresiva.