Diversas páginas web de gobiernos en Europa y empresas a nivel global quedaron fuera de servicio el pasado miércoles tras la detección de dos vulnerabilidades críticas en PHP, un lenguaje de programación ampliamente utilizado en la infraestructura de Internet. El hallazgo obligó a los administradores de sistemas a tomar medidas urgentes y drásticas para proteger su información y evitar intrusiones no autorizadas.
Los desarrolladores de PHP publicaron correcciones urgentes para estas vulnerabilidades que habían permanecido ocultas durante años en el software. El descubrimiento de estos fallos fue posible gracias al uso de inteligencia artificial, lo que llevó a los responsables del lenguaje a recomendar a todos los usuarios que realicen la actualización de sus sistemas de manera inmediata.
La gravedad de la situación fue subrayada por la Agencia de Seguridad Nacional de Estados Unidos (NSA), que instó a las organizaciones a aplicar los parches de seguridad sin demora o, en su defecto, a desconectar los sistemas vulnerables. Según un comunicado emitido por la NSA a través de la red social X, estas fallas proporcionan a menudo una vía directa al sistema de archivos o a la base de datos del servidor. Esto permitiría que atacantes externos tomaran el control de servidores web sin necesidad de poseer una contraseña.
Ante la evidencia de que algunos hackers ya estaban aprovechando estas vulnerabilidades para acceder a sitios web, múltiples agencias gubernamentales en Europa optaron por desconectar sus plataformas como medida de precaución. El riesgo se incrementó debido a que, una vez pública la corrección, las herramientas de inteligencia artificial pueden realizar ingeniería inversa del fallo con facilidad, lo que anticipa una ola de intrusiones por parte de atacantes que busquen adelantarse a la implementación de los parches.
PHP, cuyas siglas originalmente significaban “Personal Home Page” y que se remonta a principios de la década de 1990, es un pilar fundamental de Internet. Se utiliza para gestionar desde el comercio digital hasta servicios gubernamentales y sitios de noticias. Aproximadamente el 75% de los sitios web cuyo lenguaje de programación es identificable utilizan PHP, lo que genera una preocupación masiva sobre la cantidad de objetivos expuestos. Tiffany Farriss, directora ejecutiva interina de la Asociación Drupal, advirtió que todos los servidores que utilicen cualquier versión de PHP lanzada en los últimos 20 años son vulnerables, señalando que el problema afecta a la mayor parte de Internet.
El impacto fue notable en varios países. En los Países Bajos, la agencia de ciberseguridad nacional se desconectó de la red, al igual que el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el centro nacional de ciberseguridad. En Francia, la Agencia Nacional de Ciberseguridad solicitó que se hicieran inaccesibles diversos sitios de administraciones locales, incluyendo la Prefectura de Policía de París. Asimismo, el administrador de Wikipedia informó que desconectó un número no especificado de sistemas hasta que pudieran ser parchados de forma segura.
El descubrimiento de estas vulnerabilidades fue realizado por la empresa de ciberseguridad Wiz, propiedad de Google, utilizando su herramienta autónoma de investigación basada en IA, Wiz Atlas, junto con los modelos Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI. Según Wiz, los fallos estuvieron ocultos en el código fuente durante más de una década y habrían sido extremadamente difíciles de explotar para un ser humano sin la ayuda de la IA.
Las vulnerabilidades fueron reportadas inicialmente en agosto por la firma de seguridad Calif y por OpenAI de forma independiente. Posteriormente, Wiz identificó más formas de explotación y coordinó con el equipo de PHP, OpenAI y Calif la verificación del parche. En este proceso también colaboraron gigantes tecnológicos como Google Cloud, Cloudflare, AWS de Amazon, Microsoft, Automattic, Fastly, Akamai, Imperva y Vercel.
Aunque la información se mantuvo confidencial mientras se preparaba la corrección, los detalles se filtraron el martes, un día antes del lanzamiento oficial, provocando una carrera contrarreloj para asegurar los sistemas. La Casa Blanca, que tuvo conocimiento de la situación el viernes previo, afirmó que este descubrimiento resalta la importancia del liderazgo estadounidense en "Súper Inteligencia" (SI), término utilizado por el presidente Donald Trump, para reforzar la seguridad nacional.
Expertos como Lukasz Olejnik, investigador del King’s College de Londres, advierten que las campañas de piratería asistidas por IA pueden ejecutar explotaciones de forma instantánea y a gran escala. El riesgo es particularmente crítico para pequeños sitios web o organizaciones con recursos técnicos limitados que utilizan servicios de alojamiento compartido, ya que podrían tardar mucho más en aplicar los parches necesarios.
