Los desarrolladores principales de PHP, uno de los lenguajes de programación más extendidos en internet, anunciaron el hallazgo de una vulnerabilidad crítica localizada con herramientas de inteligencia artificial. Expertos advirtieron que esta falla podría permitir a atacantes tomar el control de cualquier sistema que ejecute este software sin las actualizaciones adecuadas.
De acuerdo con un reporte de The Wall Street Journal, responsables de numerosos portales afectados adoptaron medidas preventivas y desactivaron servicios. La alerta alcanzó sitios oficiales de gobiernos y empresas a nivel global, que permanecieron fuera de línea brevemente mientras se aplicaban los parches de seguridad elaborados de urgencia.
Reacción internacional y medidas de emergencia
El Instituto Nacional de Ciberseguridad (Incibe) recomendó actualizar los sistemas que utilicen PHP y propuso alternativas temporales para quienes no pudieran instalar de inmediato las nuevas versiones. Similar postura adoptó la Agencia de Seguridad Nacional de Estados Unidos, que indicó: “Todas las organizaciones que utilicen PHP en sus sistemas deben prepararse para instalar una actualización que corrija dos vulnerabilidades críticas”.
La Oficina Federal de Seguridad en las Tecnologías de la Información de Alemania enfatizó que “en estos momentos, unas vulnerabilidades críticas en el lenguaje de programación PHP suponen una amenaza para las aplicaciones web de todo el mundo”. Diversas instituciones públicas, compañías y medios de Países Bajos suspendieron sus portales virtuales, mientras que Japón emitió una alerta oficial a sus organizaciones. También se registraron interrupciones temporales en sitios oficiales de Francia, Dinamarca, Finlandia, la Fundación Wikimedia y el medio irlandés The Journal.
Detalles técnicos del fallo PHP2Shell
El fallo, denominado PHP2Shell, agrupa dos vulnerabilidades críticas asociadas a la gestión de memoria del software. Expertos señalaron que estas permitían a atacantes ejecutar programas no autorizados, acceder a sitios protegidos y extraer información sensible, como contraseñas, desde la memoria de servidores no actualizados.
La empresa Cloudflare explicó que estos errores expusieron a los usuarios a interrupciones del servicio y vulnerabilidad en los datos almacenados. Según informes técnicos, las fallas permanecieron inadvertidas en el código por más de una década.
La detección se produjo a fines de agosto, cuando equipos de OpenAI, la firma de ciberseguridad Wiz y otra compañía especializada colaboraron en la identificación del problema. Las vulnerabilidades se hicieron públicas únicamente después de que la PHP Foundation finalizó la solución para mitigar el riesgo.
OpenAI detalló que coordinó durante dos meses una coalición de investigadores y proveedores de seguridad para abordar la amenaza. Señaló que “los responsables del mantenimiento de PHP lideraron el desarrollo de las correcciones y su publicación, mientras que nuestros equipos y socios como Wiz, Cloudflare y otros participantes contribuyeron con investigaciones, asistencia técnica y coordinación para preparar las medidas de protección antes de que se hicieran públicas las vulnerabilidades”.
La firma Wiz calificó el caso como un “punto de inflexión de la IA”. Sus analistas explicaron que la innovación residió en la capacidad de comprender debilidades y transformarlas rápidamente en un exploit funcional, afirmando: “Gracias a los modelos de IA de vanguardia y a las herramientas adecuadas, un solo investigador logró en una semana lo que, anteriormente, habría requerido meses de trabajo por parte de un equipo de primer nivel”.
En la investigación participaron sistemas avanzados como Gemini 4 Argon, Wiz Atlas y GPT-5.6 Sol. Los especialistas de Wiz compararon el episodio con la vulnerabilidad Heartbleed de 2014. Señalaron que los fallos subyacentes permanecieron escondidos durante décadas y demostrar la posible explotación demandaba una compleja cadena de pasos difíciles de reproducir para los equipos humanos, pero el uso de inteligencia artificial permitió acelerar e incluso materializar el proceso de explotación.
También lee
