Lo que comenzó como uno de los descubrimientos más importantes de la inteligencia artificial en materia de ciberseguridad se convirtió en una emergencia internacional. Dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por cerca del 70% de los sitios web, provocaron millones de intentos de ataque en cuestión de horas, según informó Cloudflare.
La situación obligó a bancos, aerolíneas, empresas tecnológicas y organismos gubernamentales a suspender temporalmente algunos de sus servicios mientras implementan actualizaciones de seguridad.
La magnitud del problema llevó a los principales organismos de ciberseguridad a recomendar actualizaciones inmediatas. Las fallas permiten, bajo determinadas condiciones, ejecutar código malicioso de manera remota, incluso sin disponer de una contraseña o una cuenta de usuario. Esto podría facilitar el robo de información, la instalación de programas maliciosos y la interrupción de servicios digitales.
Qué ocurrió y por qué están en riesgo tantos sitios web
Las vulnerabilidades fueron descubiertas con ayuda de modelos avanzados de inteligencia artificial, mediante investigaciones realizadas por OpenAI, la startup de ciberseguridad Calif y Wiz, compañía perteneciente a Google.
Para comprender su importancia, primero hay que entender qué es PHP. Se trata de un lenguaje de programación de código abierto utilizado para desarrollar sitios web y aplicaciones. A diferencia de las tecnologías que determinan cómo se ve una página, PHP permite ejecutar muchas de las operaciones que ocurren detrás de ella.
Por ejemplo, puede intervenir cuando un usuario inicia sesión, realiza una compra por internet, completa un formulario o consulta información almacenada en una base de datos. También constituye una parte fundamental de sistemas populares como WordPress, Drupal y Joomla, utilizados por millones de empresas, instituciones y particulares.
Según las estadísticas de W3Techs, PHP está presente en aproximadamente el 69% de los sitios web cuyo lenguaje de programación del servidor puede identificarse. Sin embargo, esto no significa que todos esos sitios sean vulnerables ni que hayan sufrido ataques. El riesgo depende, entre otros factores, de la versión instalada y de la configuración de cada servidor.
Las dos fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una calificación de gravedad de 9,2 sobre 10. Los problemas afectan al funcionamiento interno de PHP, especialmente a la manera en que administra la memoria durante determinadas operaciones.
Amazon detectó intentos de ataque antes de que se conocieran las fallas
Una de las novedades más preocupantes surgió de una investigación publicada por Amazon Web Services (AWS). Su equipo de inteligencia de amenazas descubrió que los intentos de aprovechar estas vulnerabilidades habían comenzado al menos el 17 de octubre, cuando la información todavía no había sido divulgada oficialmente.
El hallazgo se produjo mediante MadPot, una red de sistemas señuelo que Amazon utiliza para detectar actividades sospechosas y estudiar el comportamiento de los ciberdelincuentes. Estos entornos simulan sistemas reales para atraer intentos de intrusión sin exponer infraestructura de producción.
Según la compañía, el primer intento provenía de una dirección IP vinculada a un servicio comercial de anonimización. Esto despertó sospechas de que un atacante disponía de información sobre las fallas antes de su publicación, aunque Amazon no pudo determinar cómo la había conseguido.
El 21 de octubre también se identificaron nuevos intentos procedentes de distintas infraestructuras que ocultaban el origen de las conexiones. Los investigadores observaron diferencias en las técnicas utilizadas, lo que sugiere la participación de varios actores.
Después de que se difundieran las actualizaciones oficiales, comenzaron a circular rápidamente demostraciones de cómo aprovechar las vulnerabilidades, conocidas técnicamente como pruebas de concepto.
Amazon advirtió que los intentos de explotación ya se estaban extendiendo, aunque aclaró que no había podido determinar si los ataques observados habrían logrado comprometer servidores reales.
Cloudflare reportó millones de intentos de ataque en pocas horas
La segunda señal de alarma llegó desde Cloudflare, una de las principales compañías de infraestructura y seguridad de internet. Según informó Reuters, su CEO, Matthew Prince, explicó que la actividad maliciosa aumentó de manera extraordinaria alrededor de la publicación oficial de las vulnerabilidades.
Durante las diez horas previas al anuncio, Cloudflare identificó miles de intentos de explotación. En los primeros 45 minutos posteriores, esa cifra pasó a decenas de miles. Dos horas después ya se contabilizaban cientos de miles y, posteriormente, el volumen alcanzó millones de intentos.
Con el correr de las horas, las consecuencias de la emergencia comenzaron a extenderse a sectores que dependen de internet para desarrollar sus operaciones cotidianas. En Japón, compañías como Nomura, Mitsubishi UFJ Financial Group, la aerolínea ANA y East Japan Railway anunciaron suspensiones temporales de determinados servicios digitales para implementar medidas de seguridad.
También adoptaron decisiones similares la aseguradora Tokio Marine y Asahi Group Holdings. En paralelo, organismos públicos japoneses, incluidos el Ministerio de Finanzas y la Agencia Nacional de Impuestos, interrumpieron parcialmente algunos servicios.
Las consecuencias también llegaron a Europa. En Francia, la compañía de telecomunicaciones Orange restringió temporalmente el acceso a algunas aplicaciones y páginas web que utilizan PHP, como medida preventiva frente a la amenaza.
La magnitud del problema también generó preocupación entre los principales referentes de la industria tecnológica. Durante un evento en Alemania, Satya Nadella, CEO de Microsoft, reconoció que hacía mucho tiempo que no presenciaba una situación de estas características y subrayó la necesidad de desarrollar sistemas capaces de mantener su seguridad incluso a medida que se vuelven más complejos.
El papel de OpenAI y la inteligencia artificial en el descubrimiento
Las vulnerabilidades, agrupadas bajo el nombre PHP2Shell, también representan un avance significativo en la utilización de inteligencia artificial para identificar problemas de seguridad.
Según explicó OpenAI, Calif descubrió una falla crítica mediante GPT-5.6 Sol, como parte de su iniciativa Patch the Planet, destinada a encontrar y corregir vulnerabilidades en tecnologías ampliamente utilizadas.
Por su parte, Wiz realizó investigaciones independientes con apoyo de herramientas de inteligencia artificial, entre ellas Gemini 4 Argon, desarrollado por Google.
La importancia de estos hallazgos radica en que los problemas permanecieron ocultos durante años. Aunque estaban relacionados con componentes fundamentales del funcionamiento de PHP, demostrar que podían aprovecharse para tomar el control de un servidor requería procedimientos técnicos especialmente complejos.
Los nuevos modelos permitieron acelerar ese trabajo, facilitando la identificación de secuencias de operaciones capaces de convertir errores internos en vulnerabilidades explotables.
Sin embargo, el caso también evidencia la otra cara de esta tecnología. Las mismas herramientas que ayudan a descubrir y corregir fallas pueden reducir el tiempo que necesitan los atacantes para desarrollar mecanismos de explotación.
De hecho, Amazon advirtió que los plazos tradicionales para implementar actualizaciones resultan cada vez menos adecuados frente a amenazas que pueden comenzar a aprovecharse en cuestión de horas.
Otro dato relevante surgió de un comunicado de la organización responsable de apoyar el desarrollo de PHP. La PHP Foundation reconoció que en 2024, durante trabajos vinculados con una auditoría de seguridad realizada por Quarkslab, un desarrollador había identificado indicios de uno de los problemas que ahora provocaron la emergencia.
En aquel momento, sin embargo, no se había encontrado una manera concreta de aprovecharlo para ejecutar ataques remotos. Además, las posibles soluciones presentaban dificultades técnicas, riesgos de incompatibilidad y complicaciones para otros componentes del sistema.
La organización admitió que la demora en resolver el problema respondió tanto a limitaciones de recursos como a dificultades en sus procesos de decisión.
Recién en agosto de 2026, después de los informes de Calif, OpenAI y Wiz, quedó demostrada la verdadera gravedad de la situación y se aceleraron los trabajos para corregir las fallas.
Qué deben hacer las empresas y los administradores de sitios web
Las actualizaciones de emergencia ya se encuentran disponibles y los especialistas recomiendan instalarlas inmediatamente. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según la rama que utilice cada servidor. Quienes operen con PHP 8.1 o versiones anteriores deben prestar especial atención, ya que esas ramas dejaron de recibir actualizaciones oficiales del proyecto y pueden requerir una migración o soluciones específicas de sus proveedores.
En una advertencia publicada por Forbes.com, el especialista en ciberseguridad Davey Winder destacó que el problema resulta especialmente importante para los sistemas antiguos, cuyos responsables muchas veces no realizan un mantenimiento regular.
WordPress también emitió una comunicación oficial para aclarar que las vulnerabilidades no se encuentran específicamente en su plataforma, sino en PHP. Por lo tanto, actualizar WordPress por sí solo no permite solucionar el problema: es necesario comprobar la versión del lenguaje instalada en el servidor.
Los organismos de seguridad recomiendan que las organizaciones identifiquen sus sistemas expuestos, apliquen las correcciones y revisen los registros de actividad sospechosa. Cuando una actualización inmediata no resulte posible, incluso puede ser conveniente suspender temporalmente determinados servicios hasta que puedan protegerse.
La emergencia deja una advertencia que va más allá de las dos vulnerabilidades descubiertas. Internet depende de tecnologías que llevan décadas en funcionamiento y cuyo mantenimiento exige recursos, especialistas y actualizaciones constantes.
Al mismo tiempo, la inteligencia artificial está transformando la velocidad con la que se descubren y aprovechan las fallas. El desafío para empresas y gobiernos ya no consiste únicamente en identificar amenazas, sino también en conseguir que sus defensas evolucionen con la misma rapidez.