IA descubre fallas ocultas por más de una década en PHP

Una investigación apoyada por inteligencia artificial acaba de destapar uno de los agujeros de ciberseguridad más graves de los últimos años. Dos vulnerabilidades críticas, ocultas durante más de diez años en el código de PHP, podrían permitir que atacantes informáticos tomen el control de servidores, accedan a información confidencial y comprometan millones de sitios web. El hallazgo fue detallado por The Wall Street Journal y ha movilizado a expertos y empresas tecnológicas en una operación internacional para corregir el problema antes de que sea explotado a gran escala.

Una vulnerabilidad que llevaba años escondida

El conjunto de fallas fue bautizado como PHP2Shell, en alusión a la posibilidad de obtener acceso a sistemas aprovechando debilidades del propio lenguaje de programación. A diferencia de otros ataques informáticos que explotan errores en complementos, contraseñas o configuraciones particulares, PHP2Shell afecta directamente al motor que ejecuta el código de los sitios web. PHP es un lenguaje de programación de código abierto que, según datos de W3Techs citados por Reuters, es utilizado por aproximadamente el 75% de los sitios web cuyo lenguaje puede identificarse.

Entre las plataformas que dependen de PHP se encuentran WordPress, Drupal, Joomla y Magento, usadas para construir desde blogs y tiendas digitales hasta portales de noticias, servicios gubernamentales y sitios de grandes empresas. La compañía de ciberseguridad Wiz explicó que las vulnerabilidades están relacionadas con la forma en que PHP administra la memoria y procesa ciertos errores fatales durante la ejecución de una solicitud. En algunas circunstancias, el sistema puede conservar información interna dañada después de que una operación termina inesperadamente, y esa información podría reutilizarse en solicitudes posteriores, abriendo la puerta a acceder a datos protegidos o ejecutar instrucciones sin autorización.

Los investigadores demostraron que estas fallas pueden permitir la ejecución remota de código, una técnica que permite a un atacante enviar instrucciones a un servidor vulnerable sin necesidad de iniciar sesión. En el peor escenario, un ciberdelincuente podría tomar el control del servidor, modificar el contenido de una página, sustraer contraseñas o acceder a información sensible de los usuarios. Wiz identificó las vulnerabilidades bajo los códigos CVE-2026-109618 y CVE-2026-109619, con una puntuación de gravedad de hasta 9,2 sobre 10. La compañía también confirmó que las versiones de PHP publicadas durante la última década están afectadas por al menos una de las fallas, incluyendo versiones que se remontan a PHP 5.4.

El papel de la inteligencia artificial

Uno de los aspectos más relevantes del descubrimiento es que las vulnerabilidades fueron identificadas y analizadas con ayuda de inteligencia artificial. Según The Wall Street Journal, la firma de seguridad Calif encabezó una investigación que utilizó GPT-5.6 Sol, un modelo avanzado de OpenAI, para examinar el código fuente de PHP y encontrar errores que los especialistas humanos no habían logrado detectar. En paralelo, investigadores de Wiz descubrieron y reportaron de forma independiente las dos vulnerabilidades.

OpenAI confirmó su participación mediante una iniciativa llamada Patch the Planet, desarrollada para localizar fallas críticas en programas ampliamente utilizados y coordinar su corrección con las organizaciones responsables. El trabajo se extendió durante aproximadamente dos meses e involucró a desarrolladores de PHP, investigadores independientes y empresas de infraestructura digital. La inteligencia artificial resultó especialmente útil en la construcción y comprobación de los mecanismos de explotación: según Wiz, desarrollar ataques funcionales requería combinar múltiples errores y adaptarse a las condiciones de memoria de distintos servidores, un procedimiento particularmente complejo incluso para investigadores especializados. Los modelos avanzados permitieron realizar pruebas, depurar errores y adaptar esos procedimientos a diferentes aplicaciones en cuestión de horas.

El debate que se instala es que esas mismas capacidades que permiten encontrar vulnerabilidades antes de que sean descubiertas por delincuentes también podrían facilitar la creación de herramientas destinadas a explotarlas. Para Chile, donde una parte importante de los sitios web institucionales y comerciales se sostiene sobre plataformas como WordPress o Drupal, la noticia es una alerta concreta: la seguridad de esos sistemas depende ahora de que los administradores apliquen los parches que ya están siendo distribuidos por el equipo de PHP.

Con información de La Tercera