Gobiernos y organizaciones de todo el mundo iniciaron esfuerzos de remediación de emergencia el 21 de octubre de 2026, tras la divulgación de una vulnerabilidad en PHP, el lenguaje de programación que impulsa gran parte de la web actual. El error podría dar a los hackers acceso a datos y control de sitios web, lo que provocó advertencias urgentes de la Agencia de Seguridad Nacional de EE. UU., agencias de ciberseguridad y proveedores de software.

Un investigador de Calif, una firma de investigación de seguridad, encontró la falla en agosto de 2026 utilizando un modelo avanzado de inteligencia artificial de OpenAI. La firma alertó a la organización sin fines de lucro que administra PHP. Sin embargo, la información sobre la falla se filtró antes de que la organización de PHP publicara parches para su software, y según funcionarios de Amazon Web Services, los hackers comenzaron a intentar explotarlo de manera "generalizada".

La vulnerabilidad tiene implicaciones que van mucho más allá de una sola empresa o plataforma, porque PHP es un componente clave del software que ayuda a operar millones de sitios web. Entonces, ¿qué es PHP, qué papel desempeñó la IA en el descubrimiento de la falla y debería preocuparse el usuario promedio?

PHP: La base de la web

PHP es un lenguaje de programación que impulsa la mayoría de los sitios web. Para que un sitio moderno ofrezca contenido dinámico, elementos visuales y funciones de búsqueda, un programa debe ejecutarse en el servidor web y recibir la entrada del usuario, ya sea al escribir una dirección web o hacer clic en enlaces y botones. Las estimaciones indican que alrededor del 70% de los sitios web funcionan con PHP. Por lo tanto, una debilidad en PHP no es una falla en una sola aplicación, sino en una capa compartida por millones de sitios a la vez.

PHP opera en un servidor web en dos partes principales: el sistema central de PHP —el motor y las bibliotecas de tiempo de ejecución— y los scripts individuales de PHP, los programas personalizados que realmente implementan un sitio web. Cuando un visitante interactúa con un sitio, los scripts de PHP se ejecutan, reciben la entrada del usuario y generan el resultado que muestra el navegador web.

La vulnerabilidad

El problema de seguridad se encuentra directamente en el sistema central de PHP y en las bibliotecas que utiliza. Cuando existe una vulnerabilidad a este nivel profundo, puede permitir que un adversario explote el sistema subyacente. En este caso, los atacantes pueden ejecutar comandos no autorizados en la computadora que aloja un sitio web, lo que les da acceso a los datos y control total del sitio.

Es importante destacar que no se trata de un error en el código de un sitio web individual. Como el problema radica en el sistema central de PHP, cada servidor sin parchear que ejecute PHP es vulnerable. Y dado que los sitios web son accesibles para cualquier persona en internet, los adversarios pueden encontrar fácilmente objetivos basados en PHP mediante herramientas automatizadas y luego ejecutar un programa de explotación que aproveche la falla. El resultado es una carrera entre los administradores que aplican correcciones y los atacantes que buscan servidores que aún no han sido parcheados, una dinámica ya visible en los intentos de explotación generalizados que descriieron los funcionarios de Amazon Web Services.

El código de explotación se llama PHP2Shell, un nombre derivado del "acceso shell" que otorga, un término de ciberseguridad para el control directo de la línea de comandos de la computadora que ejecuta un sitio web. El acceso shell omite la interfaz del sitio web, lo que brinda a los adversarios una vía para ingresar comandos y acceder a todos los datos del sitio.

IA: Un arma de doble filo

Lo que hace particularmente notable esta vulnerabilidad es cómo fue descubierta. La falla salió a la luz mediante la divulgación coordinada, un proceso en el que los investigadores de ciberseguridad reportan los errores a los desarrolladores de PHP antes de hacerlos públicos. En este caso, transcurrieron aproximadamente dos meses entre el reporte privado en agosto y la divulgación pública en octubre.

El episodio destaca el poder de la IA en la ciberseguridad. Durante décadas, encontrar fallas de software sutiles requería grandes equipos de especialistas que revisaban código manualmente. Los sistemas de IA actuales pueden examinar bases de código extensas e identificar patrones inusuales en horas o días, analizando millones de líneas de código y detectando errores sutiles de gestión de memoria que los auditores humanos podrían pasar por alto a lo largo de décadas de desarrollo de software. La vulnerabilidad de PHP existió en el código central de PHP durante más de una década, y la IA ayudó a los investigadores a encontrarla. El caso ilustra cómo está cambiando la escala del descubrimiento de vulnerabilidades: un solo investigador que trabaja con IA puede encontrar errores que antes requerían equipos numerosos.

Pero las mismas herramientas pueden servir a los atacantes. Las capacidades de razonamiento que ayudan a los investigadores de seguridad a encontrar fallas primero también pueden permitir a los adversarios escanear rápidamente la web en busca de objetivos vulnerables y automatizar la creación de herramientas de explotación. Esto ilustra por qué es tan crítico que los equipos de seguridad usen la IA para encontrar vulnerabilidades y reportarlas de manera segura y proactiva, y por qué la IA también puede ayudar a publicar parches que las mitiguen.

¿Deberías preocuparte?

Muchas agencias gubernamentales, universidades, hospitales y empresas dependen de sistemas basados en PHP. Aunque es poco probable que los usuarios individuales de internet se vean afectados directamente, las organizaciones que retrasen el parcheo podrían exponer datos sensibles, arriesgar la interrupción de sus operaciones o brindar a los atacantes un punto de apoyo en redes más grandes.

PHP se ejecuta completamente en servidores web remotos. Si eres un usuario común de internet que visita sitios web, no necesitas descargar un parche ni reparar tu computadora personal.

Sin embargo, si administras un sitio web, un blog o un servidor, incluso un sitio pequeño construido con sistemas de gestión de contenido populares como WordPress, que a su vez funciona con PHP, debes revisar de inmediato tu panel de administración del servidor o tu proveedor de hosting para asegurarte de que el software de PHP esté actualizado a la última versión parcheada. Si un tercero aloja tu sitio web, consulta con ellos para confirmar que hayan aplicado los parches para estas vulnerabilidades.

El descubrimiento de PHP2Shell ilustra una nueva realidad para la ciberseguridad. En un mundo interconectado, mantener segura la infraestructura web es una carrera continua. A medida que las herramientas de IA se vuelven estándar tanto para los defensores cibernéticos como para los adversarios en línea, mantener hábitos de parcheo rápidos sigue siendo la defensa más esencial.

Este artículo fue escrito por Doug Jacobson, profesor universitario de Ingeniería Eléctrica y de Computación en la Iowa State University. Está republicado de The Conversation bajo una licencia Creative Commons; lee el artículo original. Esta historia fue publicada originalmente en Fortune.com.