IA descubre fallo crítico en PHP oculto 14 años

Un fallo oculto durante 14 años

En octubre de 2026, el mundo de la ciberseguridad se estremeció con el anuncio de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más usados en internet. Estas fallas, bautizadas como PHP2Shell, permiten a un atacante ejecutar código malicioso en servidores afectados sin necesidad de autenticarse. Lo más llamativo: una de ellas llevaba 14 años escondida en el código de PHP, pasando desapercibida para revisiones y auditorías.

Las vulnerabilidades, denominadas CVE-2026-109618 y CVE-2026-109619, tienen una calificación de gravedad de 9,2 sobre 10. La primera se debe a un error en la gestión de memoria que permite interpretar datos corruptos como válidos; la segunda provoca que una solicitud web pueda sobrevivir a la liberación de su memoria, permitiendo que la siguiente solicitud recupere información residual. Ambas pueden ser explotadas para ejecutar comandos en el servidor antes de que se ejecute el código de la aplicación, afectando a plataformas tan populares como WordPress, Drupal, Joomla o Magento.

¿Cómo lo descubrió la inteligencia artificial?

El hallazgo no fue obra de un humano, sino de un modelo de IA. En agosto de 2026, la empresa de seguridad Calif utilizó GPT-5.6 Sol de OpenAI para identificar una primera versión del fallo. Poco después, en septiembre, investigadores de OpenAI encontraron una variante más completa, y la firma Wiz también lo descubrió de forma independiente. Todos utilizaron herramientas de inteligencia artificial.

Según Wiz, lo que cambió la IA fue su capacidad no solo para detectar el error, sino también para convertir esa debilidad en un exploit funcional. Antes, un equipo de élite tardaba meses en lograr algo así; ahora, un solo investigador con IA puede hacerlo en una semana. Esto representa una ventaja enorme para los defensores, pero también un riesgo porque los atacantes podrían usar las mismas herramientas.

La respuesta coordinada: Patch the Planet

Durante casi dos meses, OpenAI coordinó una colaboración internacional llamada Patch the Planet. Participaron responsables del proyecto PHP, empresas de seguridad como Wiz y Cloudflare, proveedores de infraestructura y organismos gubernamentales. El objetivo era desarrollar y probar parches antes de que la información se hiciera pública, dando tiempo a las organizaciones para proteger sus sistemas.

Sin embargo, el plan se vio alterado cuando algunos detalles se filtraron antes de lo previsto. El lanzamiento, inicialmente programado para el 22 de octubre, se adelantó al 21 de octubre. Y es que, una vez que una vulnerabilidad se conoce, los atacantes comienzan a buscarla de inmediato. De hecho, Amazon detectó intentos de explotación el 17 de octubre, cuatro días antes de la divulgación oficial.

¿Qué se ha visto afectado?

La respuesta fue contundente. Gobiernos de Finlandia, Francia, Dinamarca y los Países Bajos desconectaron sus sitios web de manera preventiva. Aerolíneas y bancos japoneses, como ANA o MUFG, suspendieron servicios. El sitio de noticias irlandés Journal también se apagó, y partes de Wikipedia fueron desactivadas como precaución.

El FBI recomendó a las organizaciones que no pudieran aplicar los parches de inmediato que desconectaran sus servidores. En cuestión de horas, circularon pruebas de concepto y varios atacantes comenzaron a explorar servidores vulnerables.

Lista de puntos clave

• Dos vulnerabilidades críticas en PHP, conocidas como PHP2Shell, permiten ejecutar código sin autenticación.
• Una de ellas permaneció oculta durante 14 años. Fue descubierta por IA de OpenAI en agosto de 2026.
• El parche oficial está disponible en las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
• Versiones anteriores a PHP 8.2 reciben parches mínimos, y las anteriores a 7.4 no tienen actualización.
• Gobiernos y empresas desconectaron temporalmente sus sitios como medida de seguridad.
• OpenAI destinará mil millones de dólares en créditos para que organizaciones con pocos recursos accedan a herramientas de IA defensiva.

Tabla de versiones afectadas y actualizaciones

Consejos para administradores y usuarios

Si gestionas un servidor PHP, la recomendación es clara: actualiza cuanto antes a una versión parcheada. Ejecuta php -v en tu VPS para ver cuál tienes. Si usas WordPress u otras aplicaciones, recuerda que actualizar el CMS no actualiza PHP automáticamente; debes revisar la configuración del servidor.

Para el público general, visitar un sitio PHP no infecta tu dispositivo. El riesgo está en que los datos que almacenan esos servidores (nombre, correo, dirección) podrían verse comprometidos si se produce una brecha. Mantente alerta ante posibles correos de phishing en los próximos días y no cambies tus hábitos de compra o navegación por este motivo.

Preguntas y respuestas

¿Qué es PHP2Shell?

Es un conjunto de dos vulnerabilidades críticas en el lenguaje de programación PHP que permiten a un atacante ejecutar código malicioso en servidores sin necesitar credenciales. Afecta a millones de sitios web que usan PHP, incluyendo WordPress, Drupal o Joomla.

¿Cómo protejo mi sitio web?

Debes actualizar PHP a una de las versiones parcheadas: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Si usas alojamiento compartido, asegúrate de que tu proveedor haya aplicado el parche. Ejecuta php -v para verificar tu versión actual.

¿La IA es una amenaza o una aliada en ciberseguridad?

Es ambas cosas. En este caso, la IA ayudó a descubrir un fallo crítico y a desarrollar el parche, demostrando su potencial defensivo. Sin embargo, los mismos modelos pueden ser usados por ciberdelincuentes para crear exploits más rápidamente, acelerando la carrera entre ataque y defensa.