La IA descubre vulnerabilidades críticas en PHP de hace décadas, provocando una respuesta urgente de seguridad web global

Image: TechCrunch · Source

Las herramientas basadas en IA de OpenAI y Google han identificado graves fallos de seguridad en PHP presentes desde 2004, lo que ha llevado a una respuesta coordinada que involucra a grandes empresas tecnológicas y a una orientación urgente de parcheo por parte de la NSA para proteger millones de sitios web.

Advertencia crítica de la NSA sobre vulnerabilidades en PHP detectadas por IA

El 21 de octubre de 2026, la Agencia de Seguridad Nacional de Estados Unidos (NSA) emitió una advertencia grave sobre dos vulnerabilidades críticas de seguridad halladas en PHP, un lenguaje de programación del lado del servidor predominante que sustenta aproximadamente el 70% de los sitios web del mundo, incluidos muchos que ejecutan sistemas de gestión de contenido populares como WordPress. Las vulnerabilidades, que permiten a atacantes acceder al sistema de archivos o bases de datos de los servidores web afectados, se remontan a la versión 5 de PHP lanzada en 2004, lo que significa que innumerables sitios han estado potencialmente expuestos durante casi dos décadas.

Parcheo y recomendaciones urgentes

La PHP Foundation ya ha emitido parches para estas fallas, con una recomendación contundente de la NSA de que cualquier sitio web que no pueda aplicar estas actualizaciones de inmediato sea desconectado para prevenir la explotación. Cabe destacar que las versiones anteriores a PHP 8.1 ya no reciben soporte, por lo que es esencial una actualización a PHP 8.5.12 o posterior para mantener la seguridad.

El papel clave de la inteligencia artificial en el descubrimiento

Estas vulnerabilidades de larga data salieron a la luz gracias a los avances en inteligencia artificial. La iniciativa "Patch the Planet" de OpenAI, que utiliza su modelo GPT-5.6 Sol, descubrió una de estas fallas. Simultáneamente, la firma de seguridad Wiz empleó sus herramientas impulsadas por IA, incluyendo el agente de seguridad Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol, para identificar varias vulnerabilidades adicionales en PHP.

Divulgación responsable y respuesta colaborativa

Tanto OpenAI como Wiz siguieron protocolos de divulgación responsable, colaborando estrechamente con la PHP Foundation para desarrollar y validar parches antes del anuncio público. Este esfuerzo se expandió a una amplia coalición que incluye líderes tecnológicos como Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel, garantizando la rápida evaluación y distribución de las correcciones. Aunque los sitios WordPress emplean PHP, WordPress aclaró que las vulnerabilidades no son específicas de su sistema de gestión de contenido y exhortó a los usuarios a trabajar con sus proveedores de hosting para asegurar sus instalaciones.

Implicaciones y riesgos futuros

OpenAI destacó que estos defectos fueron descubiertos por investigadores antes de cualquier explotación conocida por hackers, un período probablemente facilitado por las anteriores dificultades para identificar y explotar problemas tan arraigados. Sin embargo, Wiz advirtió que la llegada de grandes modelos de lenguaje ahora reduce las barreras para que atacantes adapten exploits a través de versiones y configuraciones de PHP, elevando así el perfil de riesgo.

Paradoja de la IA en ciberseguridad y desafíos globales

Este evento ejemplifica una paradoja del papel de la IA en la ciberseguridad: ha sido instrumental para detectar y prevenir vulnerabilidades de alto riesgo, pero al mismo tiempo reduce el intervalo entre la divulgación y la explotación por actores maliciosos. El desafío continuo para el ecosistema global de internet es parchear con rapidez decenas de millones de sitios web impulsados por PHP para impedir posibles ataques. La insistencia de la NSA en una acción inmediata o la desconexión temporal de los sitios resalta la urgencia de este incidente crítico de seguridad.