Una parte de internet tuvo que apagarse temporalmente para evitar algo mucho peor. Durante el miércoles 21 de octubre, organismos gubernamentales, universidades y otras instituciones comenzaron a desconectar sus páginas web después de que se hicieran públicas dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación sobre los que funciona buena parte de la red. El peligro no estaba en un virus instalado en los ordenadores de los usuarios, sino en fallas capaces de permitir que un atacante tomara el control de servidores a distancia.
La alarma tuvo un protagonista inesperado: la inteligencia artificial. Investigadores de seguridad apoyados por modelos de IA participaron en el descubrimiento de los fallos, que recibieron una puntuación de gravedad de 9,2 sobre 10. Las autoridades de Estados Unidos, Alemania y otros países recomendaron instalar los parches inmediatamente o desconectar los sistemas vulnerables hasta poder protegerlos.
Dos vulnerabilidades de PHP pusieron en riesgo a miles de webs sin necesidad de conocer sus contraseñas
PHP es un lenguaje que funciona en los servidores y permite ejecutar buena parte de las operaciones invisibles de internet: gestionar cuentas, consultar bases de datos, procesar formularios y generar contenido dinámico. Plataformas como WordPress, Drupal, Joomla y MediaWiki dependen de PHP. Por eso, una vulnerabilidad en el propio lenguaje puede afectar a aplicaciones muy diferentes, incluso cuando sus desarrolladores no cometieron ningún error específico.
Los fallos identificados como CVE-2026-109618 y CVE-2026-109619, también conocidos como PHP2Shell, pueden permitir la ejecución remota de código sin autenticación en servidores vulnerables bajo determinadas condiciones. La Agencia de Ciberseguridad de la Unión Europea (ENISA) confirmó que ambas vulnerabilidades representaban un riesgo suficientemente grave como para solicitar medidas inmediatas de protección.
En un escenario de explotación exitosa, un atacante podría acceder a información confidencial, modificar archivos, alterar el funcionamiento de una página o utilizar el servidor comprometido para realizar otras operaciones maliciosas. Sin embargo, no significa que todos los sitios desarrollados con PHP hayan sido vulnerables ni que hayan sufrido un ataque. El riesgo depende de la versión, la configuración y las condiciones concretas de explotación.
La inteligencia artificial encontró fallos que llevaban años ocultos y desató una carrera contrarreloj
Una de las características más llamativas del incidente fue el papel de los sistemas de inteligencia artificial utilizados para investigar el código. La empresa de ciberseguridad Calif identificó una vulnerabilidad crítica utilizando GPT-5.6 Sol, mientras que Wiz encontró y notificó de manera independiente ambas fallas mediante sus propias investigaciones, apoyadas también en herramientas de IA. Según la explicación oficial publicada por OpenAI, los descubrimientos fueron comunicados de manera privada a los responsables de PHP para permitir que prepararan las correcciones antes de revelar los detalles públicamente.
La situación se complicó cuando información sobre las vulnerabilidades comenzó a circular antes de la publicación prevista de los parches. Las autoridades advirtieron que los atacantes podrían aprovechar rápidamente ese conocimiento. En Alemania, instituciones como el hospital universitario Charité de Berlín suspendieron temporalmente sus páginas web como medida preventiva, según la información difundida por medios locales y recogida por Deutsche Welle. Eso no implica necesariamente que sus sistemas clínicos estuvieran comprometidos.
El caso también demuestra una paradoja: la misma inteligencia artificial que facilita encontrar problemas de seguridad puede reducir las barreras técnicas para que actores maliciosos los investiguen y exploten.
PHP lanzó parches de emergencia, pero actualizar los servidores será el verdadero desafío
El equipo de PHP publicó el 21 de octubre cuatro versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La PHP Foundation confirmó las actualizaciones y reconoció que uno de los problemas había sido detectado parcialmente en 2024, aunque entonces no se conocía una vía concreta para explotarlo.
Para los administradores de sitios web, la prioridad es comprobar qué versión de PHP utiliza su servidor e instalar las correcciones correspondientes. En WordPress, por ejemplo, la actualización debe realizarse sobre el entorno PHP del alojamiento; actualizar únicamente WordPress no soluciona estas vulnerabilidades.
La gravedad del episodio no reside en que internet haya dejado de funcionar globalmente, sino en que una tecnología compartida por millones de aplicaciones presentó fallos capaces de comprometer servidores enteros. Y deja una advertencia para los próximos años: la inteligencia artificial está acelerando el descubrimiento de vulnerabilidades, pero también podría facilitar su explotación. La seguridad dependerá cada vez más de la rapidez con la que los desarrolladores y los administradores puedan responder.
