Historia
29 de oct de 2026
La IA encuentra los puntos débiles de PHP antes de que la web pueda corregirlos
Los investigadores y especialistas en seguridad consideran el incidente de PHP tanto un problema urgente de aplicación de parches como una advertencia: la IA puede descubrir fallos ocultos durante mucho tiempo más rápido de lo que las organizaciones pueden reparar manualmente los sistemas que dependen de ellos.
Durante años, la omnipresencia de PHP fue en gran medida invisible para quienes navegaban por la web. Luego, investigadores asistidos por IA que trabajaban con herramientas de OpenAI y Google descubrieron graves debilidades de larga data en el lenguaje de scripting, utilizado por cerca del 70 % de los sitios web.1
El descubrimiento convirtió una tarea habitual de software en una emergencia. La semana pasada, dos fallos críticos hicieron que las organizaciones se apresuraran a corregir los sistemas afectados; algunas desconectaron sitios web en lugar de dejarlos expuestos mientras se preparaban los parches.2 La magnitud de la respuesta reflejó no solo el alcance de PHP, sino la inquietante posibilidad de que el código antiguo ampliamente desplegado pueda contener vulnerabilidades que simplemente han pasado desapercibidas.
Los investigadores y el equipo de PHP trabajaron con OpenAI, Wiz y el grupo de investigación Calif para coordinar las reparaciones. Pero el incidente también puso de manifiesto los límites de ese modelo. Tomer Schwartz, CTO de Gestión de Exposición y AppSec de Wiz, dijo que la empresa «no habría podido encontrar estos fallos sin IA», después de que herramientas personalizadas probaran docenas de posibles ideas durante un fin de semana.2
Esa velocidad es la tensión central. La IA puede proporcionar a los defensores una forma poderosa de examinar código antiguo, pero también puede acelerar el descubrimiento —y potencialmente la explotación— de nuevas vulnerabilidades. Uno de los fallos de PHP había permanecido «a la vista durante más de una década» antes de que unas condiciones cambiantes lo hicieran explotable, según el relato de la respuesta.2
Para los operadores de sitios, el mensaje inmediato es menos futurista: aplicar parches con prontitud y comprobar si el software subyacente de un sitio web se ha actualizado realmente. Para la industria de la seguridad, la alarma de PHP es una lección más dura. La aplicación manual de parches no puede escalar si las máquinas empiezan a encontrar fallos en toda internet a velocidad de máquina.1