Modelos de IA destaparon lo que OpenAI define como uno de los fallos de seguridad más graves de los últimos años, oculto en PHP durante más de una década. Del rastreador de sueño de Pokémon al Parlamento neerlandés, webs de todo el mundo se apagaron para adelantarse a los hackers.
La inteligencia artificial ha destapado dos fallos de seguridad críticos en PHP, un lenguaje de programación que sostiene discretamente gran parte de internet, y ha obligado a organizaciones de todo el mundo a apresurarse para desconectar sus sitios web antes de que los piratas informáticos puedan explotarlos.
PUBLICIDAD
PUBLICIDAD
Los errores han pasado inadvertidos en el código de PHP durante más de una década. Han hecho falta modelos de IA de última generación de OpenAI y Google para convertir una debilidad sospechada desde hace tiempo en un ataque funcional, y ahora se ha desatado una carrera para cerrar esa puerta.
A medida que las capacidades de la IA avanzan a gran velocidad y alimentan el temor a una nueva era de ciberataques, esto es lo que conviene saber.
Europa reacciona
Países Bajos ha desconectado su sistema de identidad digital DigiD, el portal gubernamental Overheid.nl y la página web de la cámara baja del Parlamento, y el Puerto de Róterdam, varios hospitales y los cinco principales partidos políticos del país han seguido el mismo camino.
Incluso el Centro Nacional de Ciberseguridad neerlandés ha retirado su propia página.
El proveedor estatal de servicios informáticos de Finlandia, Valtori, ha apagado en bloque los servicios web gubernamentales "como medida de precaución", el Ministerio del Interior francés ha puesto los sitios de las administraciones locales en modo mantenimiento y el servicio federal de TI alemán ITZBund ha desactivado varios portales.
CERT-EU, el servicio de ciberseguridad para las instituciones de la UE, ha ido más lejos que la mayoría y ha instado a cualquier organización que no pueda aplicar el parche de inmediato a desconectar sus sitios web en lugar de arriesgarse a sufrir un ataque.
La Comisión Europea, ENISA, CERT-EU, Europol y la red de equipos nacionales de respuesta a incidentes cibernéticos de la UE también han publicado una declaración conjunta en la que instan a las organizaciones a actuar de inmediato, dando prioridad a los sistemas expuestos a internet.
¿Qué es PHP y por qué importa?
Creado a principios de la década de 1990, PHP es un nombre que originalmente significaba Personal Home Page y es el código que funciona entre bastidores en aproximadamente siete de cada diez sitios web, según la empresa de seguridad Wiz Research, que lo describe como "la columna vertebral de la web".
Mientras lenguajes como HTML gestionan lo que se ve en una página, PHP se encarga de lo que no se ve, como comprobar inicios de sesión, procesar pagos o entregar contenidos.
Está en la base de WordPress, Drupal y Joomla, las plataformas que sustentan desde blogs personales hasta tiendas en línea y portales gubernamentales.
Ese alcance es lo que convierte dos fallos en un acontecimiento global. Wiz ha señalado que todas las versiones de PHP publicadas en la última década se ven afectadas por al menos una de las vulnerabilidades, y que incluso una sencilla página "Hello World" en un servidor sin parchear podría ser vulnerable.
El miércoles se ha publicado una corrección, y la Fundación PHP ha advertido a los departamentos de tecnología de todo el mundo de que "si ejecutan PHP, es imperativo que actualicen ahora".
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Cualquier versión anterior ya no recibe actualizaciones oficiales y debe considerarse expuesta, salvo que un proveedor haya adaptado el parche, ha advertido en un aviso el equipo de respuesta de emergencia de ciberseguridad de la Unión Europea (CERT-EU).
El resultado ha sido una oleada de aplicaciones y sitios web que se han quedado fuera de servicio, desde la página de la Policía de París hasta un rastreador del sueño de Pokémon, mientras los desarrolladores actualizan su código de base. Entre los sitios desconectados como medida de precaución figuran páginas gubernamentales de toda Europa.
¿Cómo ha encontrado la IA los fallos?
Ambas vulnerabilidades, registradas como CVE-2026-109618 y CVE-2026-109619 y calificadas con 9,2 sobre 10 en gravedad, se encuentran en las partes de PHP por las que pasan casi todas las peticiones, en concreto la gestión de memoria y el tratamiento de errores.
Si una petición web alcanza el límite de memoria de PHP en el momento exacto equivocado, el software puede ser engañado para que ejecute el código de un atacante sin necesidad de inicio de sesión.
La Fundación PHP reconoce que sus propios desarrolladores detectaron por primera vez indicios del problema en 2024, durante una auditoría externa.
Se esbozó un posible exploit teórico, pero, sin una vía concreta para un ataque y con un pequeño equipo central que debía sopesar los pros y los contras de una corrección, el trabajo se estancó y se reanudó durante meses. La fundación calificó la demora de "fallo estructural".
Entonces intervino la IA. En agosto, la empresa de seguridad Calif, que realizaba una auditoría del código fuente de PHP financiada por OpenAI y utilizaba el modelo GPT-5.6 Sol de OpenAI, informó de un ataque remoto plenamente operativo con la misma causa de raíz.
OpenAI señaló de forma independiente el mismo problema ese mismo día. Dos semanas después, Wiz presentó nuevos vectores de ataque, utilizando su propia herramienta Wiz Atlas junto con Gemini 4 Argon de Google y GPT-5.6 Sol.
"Con modelos de IA de frontera y las herramientas adecuadas, un solo investigador ha completado en una semana lo que antes habría llevado meses de trabajo a un equipo de primer nivel", escribieron los investigadores de Wiz.
OpenAI calificó el hallazgo como "una de las vulnerabilidades más impactantes de los últimos tiempos" y añadió que "marca una nueva fase, en la que la IA puede encontrar fallos de seguridad con un impacto a escala de internet".
Las conclusiones se mantuvieron en secreto mientras se desarrollaba la corrección.
Luego, el martes por la tarde, los dos identificadores CVE se filtraron en foros en línea y redes sociales.
PHP adelantó su lanzamiento un día, y Calif publicó por error, y después borró, un vídeo que mostraba su prueba de concepto funcionando contra varios objetivos, según la Fundación PHP. Las copias se difundieron rápidamente.
"El problema con herramientas como la IA es que, en el momento en que toda la información está ahí fuera, la gente puede militarizarla muy, muy rápido", declaró a AFP Steve Kerrison, profesor titular de ciberseguridad en el campus de Singapur de la Universidad James Cook.
"Por eso todo el mundo está actuando con tanta urgencia para responder a este problema".
¿Se han pirateado ya sitios web?
No necesariamente. "Desconectar sitios web no significa necesariamente que hayan sido pirateados. Puede ser una medida responsable para proteger los sistemas mientras se aplican las actualizaciones de seguridad", explicó Dimitrios Salampasis, de la Universidad Tecnológica Swinburne de Australia.
La Fundación PHP ha señalado que su equipo de seguridad inspeccionó el código de prueba de concepto que circulaba tras la filtración y no encontró ningún exploit funcional en el momento de la publicación.
"Los indicios que están viendo los investigadores de seguridad apuntan a que nadie estaba realizando activamente ataques utilizando las técnicas disponibles", afirmó Kerrison.
Sin embargo, la situación está cambiando. La empresa de infraestructuras web Cloudflare informó el miércoles de que había observado tráfico de ataque dirigido a sus clientes, y CERT-EU advirtió de que la circulación pública de los detalles técnicos aumenta la probabilidad de que los atacantes ya estén sondeando las vulnerabilidades.
Las instituciones de mayor tamaño, desde organismos públicos hasta medios de comunicación, deberían poder aplicar parches con relativa rapidez. Otras podrían quedar expuestas durante mucho más tiempo.
"Hay sitios, sistemas y personas que no tendrán ni idea de esto y seguirán sin tenerla durante días, semanas y meses", advirtió Kerrison.
Ello podría incluir blogs gestionados por usuarios y páginas de pequeñas empresas, que los piratas podrían secuestrar para propagar virus informáticos, enviar correo basura u hospedar contenido malicioso.
¿Podría haber otras consecuencias?
Cualquier filtración de datos podría volver a perseguir a los clientes mucho después del parche, si su información personal se recoge para ataques de tipo 'phishing', en los que se engaña a alguien para que facilite una contraseña o datos de pago.
La naturaleza enmarañada e interconectada de los sistemas en línea también significa que el riesgo no termina cuando se actualiza el propio servidor. Muchos sitios dependen de servicios de terceros que pueden utilizar a su vez PHP.
Si esos terceros tardan en aplicar los parches, "entonces, aunque te hayas parcheado tú mismo... sigues sin estar seguro", señaló Rahat Masood, profesora titular de ciberseguridad en la Universidad de Nueva Gales del Sur, en Sídney.
PHP no es toda la historia, añadió Kerrison. Una ciberseguridad sólida implica varias capas de defensa, de modo que una cerradura rota no abra todas las puertas.
La Fundación PHP, por su parte, está aprovechando el episodio para lanzar una llamada contundente. El lenguaje hace funcionar servicios gubernamentales, bancos y tiendas en línea en todo el mundo, pero su seguridad sigue descansando en un pequeño grupo de desarrolladores y voluntarios financiados por la fundación.
Las herramientas pueden encontrar fallos más rápido que nunca, afirmó, pero decidir cómo corregirlos sin romper la web requiere ingenieros experimentados.