Historia
27 de oct de 2026
La IA encontró la falla oculta de PHP y luego obligó a la web a entrar en una carrera por parchear
La emergencia de PHP mostró el doble filo de la IA: ayudó a los investigadores a descubrir debilidades ocultas durante mucho tiempo antes de que los atacantes pudieran explotarlas plenamente, pero también redujo el tiempo disponible para que cada propietario de un sitio web respondiera. Los defensores lo califican de avance en seguridad; las agencias y los operadores más pequeños lo ven como una prueba alarmante para una internet construida sobre código antiguo y ampliamente compartido.
La alarma comenzó en agosto, cuando investigadores de seguridad utilizaron herramientas avanzadas de IA para examinar una antigua infraestructura web. En Wiz, un agente de IA no logró adaptar una vulnerabilidad de WordPress a Drupal, pero en su lugar detectó una falla independiente de PHP. El investigador Sagi Tzadik inicialmente asumió que el modelo estaba equivocado: “Los modelos tienden a alucinar”. Sin embargo, el exploit funcionó y expuso una debilidad que había permanecido sin detectarse durante más de una década.1
El descubrimiento conllevaba una salvedad importante en medio de las afirmaciones de un avance logrado solo con IA: los investigadores humanos de Wiz y Calif aún tuvieron que verificar, comprender y reportar responsablemente los fallos. Un grupo de unas 15 personas trabajó luego entre empresas rivales y el proyecto PHP para rastrear las fallas y preparar una solución, un esfuerzo que Tomer Schwartz, de Wiz, describió como “basado únicamente en la confianza”.1
El proceso coordinado comenzó a deteriorarse antes del lanzamiento previsto. Los detalles circularon en internet, y el CEO de Chainguard, Dan Lorenc, divulgó información anticipadamente, afirmando que creía que la falla ya estaba siendo explotada; la PHP Foundation dijo que la medida rompió el embargo e ignoró semanas de coordinación.2
Para el miércoles y el jueves, las consecuencias eran visibles desde Helsinki hasta Nueva York. Gobiernos y empresas retiraron temporalmente servicios de internet mientras aplicaban el parche de la PHP Foundation. Cloudflare afirmó que observó miles de intentos de explotación antes de la divulgación pública, luego decenas de miles en 45 minutos, cientos de miles en dos horas y, finalmente, millones.3
Para los defensores, el episodio fue tanto un incidente que estuvo a punto de ocurrir como una nueva realidad operativa. Un experto en ciberseguridad advirtió que la IA puede permitir que incluso atacantes con pocas habilidades exploten fallos críticos en cuestión de minutos, lo que vuelve “inservible” la secuencia tradicional de evaluar la exposición, asignar la remediación y aplicar parches.4 La respuesta práctica sigue siendo decididamente poco glamurosa: identificar los sistemas que dependen de PHP, analizarlos y actualizarlos de inmediato, en lugar de asumir que todos los sitios vulnerables deben desconectarse.
Las empresas de IA y los fabricantes de herramientas ya están convirtiendo el susto en automatización defensiva. Aravind Srinivas dijo que su empresa estaba ofreciendo créditos para comprobaciones de vulnerabilidades de PHP, incluida una herramienta diseñada para priorizar las correcciones.
5 Pero la tensión central permanece: la IA puede encontrar vulnerabilidades más rápido para los buenos, al tiempo que garantiza que, una vez que un secreto se filtra, los malos puedan correr con la misma rapidez.