Principales vulnerabilidades de PHP explotadas antes de su divulgación pública, generando alertas globales de seguridad

Image: Ars Technica · Source

Graves fallos de seguridad en PHP, descubiertos con ayuda de IA, fueron explotados por hackers días antes de su divulgación pública. Grandes entidades de la nube y gobiernos instan a aplicar parches inmediatos o apagar sistemas para evitar ataques web masivos.

El 22 de octubre de 2026, las advertencias de ciberseguridad se intensificaron a nivel mundial tras el descubrimiento y explotación de graves vulnerabilidades en PHP, un lenguaje de programación fundamental que impulsa aproximadamente el 70 % de los sitios web en el mundo. Amazon, el mayor proveedor de computación en la nube, reveló que hackers comenzaron a sondear estas fallas de seguridad en PHP cuatro días antes de que el público fuera informado de su existencia. Las vulnerabilidades, denominadas PHP2Shell, fueron identificadas con la ayuda de modelos de IA desarrollados por OpenAI y Google, marcando una intersección significativa entre la inteligencia artificial y la ciberseguridad.

Las vulnerabilidades de PHP, que pasaron inadvertidas por más de una década, permiten a los atacantes un posible acceso directo a los sistemas de archivos o bases de datos de los servidores sin necesidad de contraseñas, habilitando de facto el control total sobre los servidores web comprometidos. Reconociendo la amenaza crítica, la Agencia de Seguridad Nacional de EE. UU. (NSA), el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) y otras autoridades emitieron avisos urgentes recomendando aplicar parches inmediatos o, cuando no sea factible, desconectar los sistemas afectados para prevenir su explotación.

Investigadores de las firmas de ciberseguridad Calif y Wiz, esta última propiedad de Alphabet, colaboraron con OpenAI y el equipo de desarrollo de PHP para confirmar las fallas y lanzar parches de seguridad el mismo día en que las vulnerabilidades fueron divulgadas públicamente. OpenAI calificó estos bugs como “uno de los problemas de seguridad más impactantes en la memoria reciente” debido al uso generalizado de PHP, especialmente a través de plataformas como WordPress, que dependen en gran medida de este lenguaje.

La NSA enfatizó la gravedad, advirtiendo que estas vulnerabilidades a menudo proporcionan una vía directa hacia sistemas backend críticos. Tras esto, algunos gobiernos europeos reportaron la desconexión de sitios web mientras aplicaban las actualizaciones de seguridad. La Casa Blanca también indicó que las agencias federales estaban evaluando el impacto de las vulnerabilidades en sistemas gubernamentales e infraestructuras críticas.

Este incidente subraya el papel ambivalente de la IA en la ciberseguridad: si bien ayudó a detectar las fallas antes que los atacantes, la misma tecnología puede acelerar el desarrollo de herramientas de hacking sofisticadas. El evento ha intensificado los llamados en los sectores público y privado a mantener prácticas de ciberseguridad vigilantes y acelerar la gestión de parches, especialmente para tecnologías de internet de amplio uso.

Mientras organizaciones en todo el mundo se apresuran a actualizar sus instalaciones de PHP, este episodio se erige como un recordatorio contundente de los riesgos de seguridad profundamente arraigados en la infraestructura de internet y del potencial transformador de la IA para identificar y responder a tales riesgos.