Desarrolladores de PHP publicaron correcciones urgentes para dos vulnerabilidades críticas descubiertas mediante inteligencia artificial; la NSA instó a aplicar parches o desconectar sistemas vulnerables.
Páginas web de gobiernos en Europa y de empresas de todo el mundo quedaron fuera de servicio el miércoles, después de que se detectaran dos vulnerabilidades críticas en el lenguaje de programación PHP, según reportes de agencias internacionales. Los administradores de los sitios tomaron medidas urgentes para proteger sus sistemas.
Los desarrolladores de PHP publicaron el miércoles nuevas correcciones urgentes para las vulnerabilidades que llevaban años ocultas en su software hasta que fueron descubiertas mediante inteligencia artificial, y recomendaron “a todos los usuarios que actualicen inmediatamente”.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a aplicar parches de inmediato o desconectar los sistemas vulnerables. Las fallas “a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor”, señaló la NSA en un comunicado en X. Los atacantes podrían utilizarlas para tomar control de servidores web sin necesidad de una contraseña.
Ante los reportes de que hackers ya estaban aprovechando estas fallas para acceder a los sitios web, agencias gubernamentales de toda Europa se sumaron a quienes desconectaron sus sitios web como medida de precaución.
Dado que la corrección ya es pública y las herramientas de inteligencia artificial son capaces de realizar ingeniería inversa del fallo con poco esfuerzo, los expertos dijeron que se preparaban para una ola de intrusiones, ya que los hackers se apresuraban a adelantarse a los parches.
PHP, un lenguaje que se remonta a principios de la década de 1990 y que significaba “Personal Home Page”, sustenta gran parte de Internet -desde comercio digital hasta sitios de noticias y servicios gubernamentales-, lo que suscitó la preocupación de que un número significativo de sitios web pudiera ser vulnerable a los ataques.
“Todos los servidores que utilicen cualquier versión de PHP lanzada en los últimos 20 años serán vulnerables”, dijo Tiffany Farriss, directora ejecutiva interina de la Asociación Drupal. “Este problema afecta a la mayor parte de Internet”.
Las agencias de ciberseguridad de Europa, Australia, Japón y el Reino Unido han instado a los usuarios de PHP a actualizar el software de inmediato o a desconectar sus sitios web hasta que se puedan aplicar los parches.
La propia agencia de ciberseguridad holandesa se desconectó de la red, alegando que lo había hecho como medida de precaución debido a las vulnerabilidades. En ese país, además, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el del centro nacional de ciberseguridad se desconectaron como medida de precaución.
En Francia, sitios web de administraciones locales, incluida la Prefectura de Policía de París, son inaccesibles desde la tarde del miércoles a petición de la Agencia Nacional de Ciberseguridad francesa, tras la “detección de una vulnerabilidad crítica de seguridad”, según informó el Ministerio del Interior.
El administrador de la enciclopedia en línea Wikipedia también anunció que había desconectado un número no especificado de sistemas hasta que puedan parcharse de forma segura.
El fallo en PHP se descubrió usando inteligencia artificial, según explicó en una entrada de blog la empresa de ciberseguridad Wiz, una empresa de seguridad en la nube propiedad de Google. Las vulnerabilidades permanecieron ocultas en el código fuente de PHP durante más de una década y habría sido extraordinariamente complicado para un hacker humano aprovecharlas, según la entrada.
“Antes de la IA, este trabajo manual habría sido difícil de llevar a cabo y aún más difícil ampliarlo”, señaló. “Con la IA, esto ya no supone un obstáculo”.
Las fallas fueron reportadas en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que las señaló de forma independiente el mismo día. Posteriormente, Wiz informó de más formas de explotarlas.
Wiz explicó que su investigación se basó en Wiz Atlas, su herramienta autónoma de investigación de vulnerabilidades basada en IA, así como en Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI. Wiz señaló que coordinó con el equipo de PHP, OpenAI y la empresa de ciberseguridad Calif el descubrimiento de la vulnerabilidad y la verificación del parche.
La empresa señaló que también colaboró con Google Cloud, Cloudflare, AWS de Amazon, Microsoft, Automattic (operador de WordPress.com) y otras empresas como Fastly, Akamai, Imperva y Vercel para proteger a los clientes y preparar medidas de mitigación.
En ese momento, las fallas se comunicaron en privado a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una corrección. Los detalles se filtraron el martes, un día antes del lanzamiento previsto, lo que provocó una carrera contrarreloj para desconectar sitios.
En un comunicado, la Casa Blanca dijo que tuvo conocimiento de la vulnerabilidad el viernes. “Este descubrimiento demuestra exactamente por qué el liderazgo estadounidense en SI (Súper Inteligencia) es tan crucial”, dijo la Casa Blanca, refiriéndose al término preferido por el presidente Donald Trump para referirse a la inteligencia artificial. “Se trata de la innovación estadounidense que refuerza nuestra seguridad nacional”.
El hallazgo se produjo en medio de un auge de divulgaciones sobre seguridad de software impulsado por modelos de inteligencia artificial (IA) cada vez más potentes. De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord alcanzado el año pasado.
Agencias Reuters y AFP