A principios de agosto, un investigador de Wiz pidió a un agente de IA que probara si una debilidad de WordPress podía aplicarse a Drupal. El agente fracasó en esa tarea, pero en su lugar reveló una falla de PHP oculta durante mucho tiempo. El hallazgo inicialmente generó escepticismo porque «los modelos tienden a alucinar», dijo el investigador Sagi Tzadik, antes de que se demostrara que el exploit era real.¹

Ese descubrimiento no fue aislado. Calif, trabajando con OpenAI, había encontrado una falla relacionada, y los grupos se coordinaron con los encargados del mantenimiento de PHP para rastrear los errores y preparar una corrección. Para los defensores, fue una victoria poco común: la IA había condensado lo que Tzadik llamó «meses de investigación tradicional» en días u horas.¹ Pero la misma aceleración agudizó el peligro. Un experto en ciberseguridad advirtió que la IA había roto el antiguo ciclo de respuesta, permitiendo incluso a atacantes con pocas habilidades explotar fallas graves en cuestión de minutos.²

Luego, la divulgación empezó a desmoronarse. Los detalles circularon en línea antes del lanzamiento previsto del parche; un video que mostraba inadvertidamente un exploit aumentó la presión. Para cuando llegaron las actualizaciones de PHP Foundation, Cloudflare había registrado miles de intentos de explotación antes de la divulgación pública, luego decenas de miles en 45 minutos y millones después.³

Gobiernos y empresas respondieron desconectando servicios mientras aplicaban parches. Reino Unido suspendió 32 servicios gubernamentales como medida de precaución; sitios públicos finlandeses detuvieron tareas rutinarias; portales neerlandeses de identidad digital y presentación de informes dejaron de funcionar. Para las grandes instituciones, un operador de pequeñas empresas calificó la interrupción como un «bache»; para las empresas más pequeñas, las interrupciones se extendieron hasta siete horas.³ Rápidamente aparecieron herramientas y servicios para ayudar a los administradores a evaluar la exposición, incluida una oferta de créditos para comprobaciones de vulnerabilidades de PHP de Aravind Srinivas, de Perplexity.Aravind Srinivas (AravSrinivas)⁴

Sin embargo, la catástrofe inmediata no llegó por completo. Evaluaciones posteriores concluyeron que, pese a millones de intentos, los errores de PHP eran inusualmente difíciles de explotar con éxito.⁵ Eso ofreció un respiro, no una señal de que todo estuviera bien. Como lo expresó Samantha Lewis, directora de inteligencia de amenazas, la próxima crisis «podría ocurrir dentro de tres horas».⁵