La IA halla fallos en PHP que paralizan el 70% de la web

Gobiernos y compañías de todo el mundo suspendieron sus portales digitales este jueves para blindar sus sistemas ante una amenaza inminente. La medida se activó después de que herramientas de inteligencia artificial revelaran defectos de seguridad graves en el lenguaje de programación PHP, ampliamente utilizado en la infraestructura de internet.

Impacto global de las fallas detectadas

Wiz, firma especializada en ciberseguridad, estimó que aproximadamente el 70% de los sitios web mundiales funcionan con código PHP. Esta cifra abarca desde tiendas en línea y medios informativos hasta plataformas de gestión gubernamental. Los expertos calificaron estos dos errores como posiblemente los más peligrosos hallados en esta tecnología o incluso en la historia del software.

Los desarrolladores de PHP lanzaron un parche correctivo el miércoles. Simultáneamente, la Agencia de Seguridad Nacional de Estados Unidos instó a las organizaciones a actualizar sus servidores de inmediato o desconectar los equipos vulnerables de la red. El riesgo se concentra en quienes ejecutan PHP en servidores propios; muchas grandes plataformas emplean otros lenguajes o proveedores capaces de aplicar arreglos rápidamente, lo que les permitió mantener su operación sin interrupciones.

Reacciones institucionales y alertas técnicas

Rahat Masood, profesora adjunta de ciberseguridad en la Universidad de Nueva Gales del Sur en Sídney, describió el descubrimiento como extremadamente destructivo. En declaraciones a la agencia France Press, explicó que estos fallos podrían permitir a atacantes acceder a servidores sin autorización, eliminando la necesidad de credenciales de usuario o contraseñas. Una vez dentro, los intrusos tendrían libertad total para robar datos sensibles o alterar contenidos, por lo que pidió a las entidades tratar la situación con máxima seriedad.

El primer ministro de Japón recomendó a las empresas actuar con alta urgencia para protegerse, mientras que el gobierno de Corea del Sur ordenó a los departamentos técnicos de sus instituciones actualizar sus programas. La Fundación PHP, entidad que financia a los creadores del lenguaje, publicó en su blog una advertencia directa: si utilizan PHP, es imprescindible actualizarlo ahora mismo.

Origen del hallazgo y comparaciones históricas

Volkher Dusch, ingeniero de seguridad en la fundación, indicó al diario The Wall Street Journal que este problema representa la crisis más severa para PHP en más de una década. Comparó la magnitud de la amenaza con la vulnerabilidad Heartbleed identificada en 2014, evento que provocó una ola mundial de actualizaciones para cerrar brechas de seguridad.

La empresa de ciberseguridad Calif localizó los dos defectos en agosto utilizando el modelo de inteligencia artificial GPT-5.6 Sol de OpenAI, durante una auditoría de código financiada por la propia compañía. OpenAI declaró a través de la plataforma X que considera estos fallos entre los más impactantes en la memoria reciente. Añadió que el hallazgo marca una nueva etapa donde la IA puede detectar errores con consecuencias que afectan a toda la red.

Wiz, propiedad de Google, anunció haber encontrado las mismas vulnerabilidades de forma independiente semanas después, apoyándose también en modelos de inteligencia artificial como Gemini 4 Argon y GPT-5.6 Sol. Ethan Mollick, profesor de la Escuela Wharton de la Universidad de Pensilvania especializado en IA, señaló que las empresas con las que interactúa luchan por seguir el ritmo de las actualizaciones necesarias frente a ataques respaldados por estas tecnologías. Escribió en X que los consumidores enfrentarán pronto la misma experiencia, debiendo renovar todos sus dispositivos con frecuencia rápida.

Fugas de información y cierres preventivos

Las vulnerabilidades fueron reportadas en secreto a los desarrolladores de PHP para mantener la confidencialidad hasta preparar las soluciones. Sin embargo, los detalles se filtraron a internet el martes, un día antes de la fecha prevista para el lanzamiento del parche. Esto obligó a las organizaciones a desconectar sus sitios precipitadamente para evitar que hackers explotaran los fallos.

En Francia, se bloqueó el acceso a portales de administraciones locales, incluida la página de la policía de París, siguiendo instrucciones de la Agencia Nacional de Ciberseguridad, según informó el Ministerio del Interior. La Fundación Wikimedia, operadora de Wikipedia, advirtió a los usuarios sobre posibles cortes mientras trabajaban en la corrección. Explicó que optaron por desconectar temporalmente varios servicios de soporte hasta poder actualizarlos y asegurarlos.

Entre los sitios afectados figuraban portales gubernamentales desde Australia hasta Países Bajos. Compañías de seguros, operadores de transporte y medios de comunicación iniciaron mantenimientos de emergencia. También se suspendieron temporalmente aplicaciones populares, como una herramienta de seguimiento del sueño vinculada al juego Pokémon, mientras se implementaban las reparaciones necesarias.

La capacidad de los modelos avanzados de inteligencia artificial para identificar puntos débiles en códigos que permanecieron ocultos a humanos durante décadas ha incrementado la preocupación por la seguridad digital. Las proyecciones sugieren que el número de vulnerabilidades detectadas globalmente en 2026 podría duplicar el récord registrado el año anterior.