En agosto, investigadores de Calif utilizaron un modelo avanzado de OpenAI para descubrir una falla profunda en PHP, el lenguaje del lado del servidor que se estima sustenta aproximadamente el 70% de los sitios web. La vulnerabilidad, posteriormente denominada PHP2Shell, podía permitir que un atacante no autenticado ejecutara comandos en un servidor web sin parchear, poniendo en riesgo datos, sitios web y redes más amplias.¹

El hallazgo inicialmente siguió la lógica habitual de la divulgación coordinada: los investigadores alertaron a la comunidad de PHP mientras se preparaba un parche. Pero la información comenzó a circular antes del lanzamiento previsto. La PHP Foundation afirmó que Chainguard había «roto unilateralmente el embargo», mientras que el jefe de Chainguard, Dan Lorenc, sostuvo que actuó porque la explotación ya estaba en marcha, una disputa que expuso las frágiles decisiones de juicio detrás de la divulgación moderna de vulnerabilidades.²

Para el miércoles, el parche ya estaba disponible, pero también el pánico. Cloudflare detectó miles de intentos de explotación antes de la divulgación pública; en 45 minutos, la cifra había alcanzado decenas de miles, luego cientos de miles en dos horas y finalmente millones. Eran intentos, no pruebas de una intrusión masiva, pero la velocidad llevó a gobiernos y empresas a desconectar servicios mientras actualizaban.³ Una alerta republicada indicó que se había observado explotación exitosa en servidores honeypot, con atacantes emitiendo comandos de shell para recuperar cargas útiles adicionales.Aravind Srinivas (AravSrinivas)⁴

Las interrupciones fueron tangibles. Gran Bretaña desconectó 32 servicios gubernamentales como medida de precaución; también se vieron afectados sitios web públicos en Finlandia, Alemania, Japón y los Países Bajos. Para las grandes organizaciones, la interrupción podía ser un «pequeño obstáculo», dijo un proveedor para pequeñas empresas, pero algunas firmas más pequeñas permanecieron desconectadas hasta siete horas.³

Los funcionarios de seguridad consideran que el incidente es más que una mala semana para PHP. La IA puede inspeccionar enormes bases de código y encontrar errores que los humanos pasaron por alto durante años, pero las mismas capacidades pueden ayudar a atacantes menos cualificados a pasar de la divulgación a la explotación en cuestión de minutos. La agencia cibernética de Alemania calificó desconectar sitios como una «medida realmente drástica», pero afirmó que la aceleración de la IA significaba que «teníamos que hacerlo».²

El consenso práctico fue contundente: aplicar parches rápidamente. El consejo de la agencia cibernética neerlandesa fue «parchear, parchear y parchear».² Rápidamente aparecieron nuevas herramientas para ayudar a los administradores a comprobar la exposición, incluida una oferta de créditos para verificaciones de vulnerabilidades de PHP.Aravind Srinivas (AravSrinivas)⁵ Puede que la crisis inmediata haya disminuido, pero la carrera entre el descubrimiento automatizado y el abuso automatizado se ha intensificado claramente.