La IA encontró cómo explotar una falla de PHP de 22 años
Investigadores de la firma Calif, con apoyo del programa Patch the Planet de OpenAI, identificaron entre el 30 de julio y el 1 de agosto de 2026 métodos prácticos para explotar una vulnerabilidad de PHP que llevaba 22 años sin resolverse por completo. Después, OpenAI y la firma de seguridad Wiz encontraron variantes adicionales. El problema ya fue corregido con una actualización, pero miles de intentos de ataque ocurrieron alrededor de la divulgación y todavía existen sistemas que no han aplicado el parche.
Una vulnerabilidad conocida, pero difícil de convertir en ataque
La advertencia inicial sobre el problema fue formulada en julio de 2004 por el investigador Stefan Esser. En 2020 se identificó un problema relacionado y se aplicó una solución parcial; en 2024 apareció una falla similar que tampoco fue corregida. El reto no era desconocer el riesgo, sino conseguir que funcionara como un ataque real.
Para lograrlo, era necesario provocar que un servidor se quedara sin memoria en un momento preciso. Eso implicaba probar muchas combinaciones y superar las restricciones de seguridad del sistema, un proceso lento y repetitivo para una persona. El 30 de julio de 2026, investigadores de Calif aplicaron un modelo de lenguaje a PHP dentro de Patch the Planet. El 1 de agosto encontraron un método de ataque y después identificaron otros.
Qué podía hacer el ataque y por qué importa
PHP procesa solicitudes para ejecutar sitios web y, antes de la actualización, podía dejar datos residuales cuando un servidor colapsaba por falta de memoria. Esos restos podían aprovecharse para filtrar información o ejecutar código malicioso. Entre las técnicas identificadas había una diferencia entre la forma de medir archivos comprimidos y archivos ya descomprimidos, así como estructuras de archivos profundamente anidadas capaces de saturar los directorios del sistema.
El impacto potencial incluía el robo de contraseñas y bases de datos, la filtración de información y la toma de control de sitios web. El alcance es relevante porque, de acuerdo con Infobae, PHP sostiene cerca del 70% de internet. Las vulnerabilidades fueron agrupadas bajo el nombre PHP2Shell en la cobertura de Wired.
La exposición no significa que todos los sistemas hayan sido comprometidos. La Fundación PHP no había visto explotaciones exitosas de estos problemas, y varios ataques difundidos públicamente parecían no funcionar. Sin embargo, Cloudflare registró millones de intentos de explotación en las horas posteriores a la publicación de las vulnerabilidades.
La actualización ayuda, pero no cierra el problema
Calif fue el primer grupo en identificar las vulnerabilidades y crear explotaciones con apoyo parcial de herramientas avanzadas de IA, aunque también necesitó conocimiento especializado sobre PHP. Después, investigadores de OpenAI y Wiz descubrieron fallas relacionadas de manera independiente. El caso muestra que la IA puede acelerar el análisis de problemas antiguos, pero no implica que un modelo encuentre por sí solo todas las vulnerabilidades.
La corrección no elimina el riesgo para los servicios que siguen utilizando versiones obsoletas o que todavía no han sido actualizados. Además, Cloudflare señaló que hubo una filtración de información antes del anuncio oficial, lo que provocó miles de intentos de ataque. Cambiar PHP tampoco es una respuesta inmediata: para aplicaciones ya construidas, una migración puede exigir reconstruirlas por completo.
Qué significa para tu empresa
Para una empresa, la lección no es asumir que la IA volverá vulnerable cualquier sistema de un día para otro. La lección es que una falla conocida puede adquirir una urgencia distinta cuando una herramienta reduce el trabajo necesario para convertirla en un ataque. Por eso conviene saber qué aplicaciones dependen de PHP, qué versión utilizan y quién se encarga de actualizarla.
El primer paso práctico es elaborar un inventario de los sitios, servidores y aplicaciones que procesan información de clientes, contraseñas o bases de datos. Después hay que confirmar si cuentan con la actualización de seguridad correspondiente y revisar los sistemas que operan con versiones obsoletas. Si una migración completa no es viable de inmediato, la prioridad debe ser reducir la exposición, mantener los componentes actualizados y vigilar intentos inusuales de acceso o explotación.
También conviene tratar la seguridad como un proceso continuo, no como una tarea que termina al instalar un parche. La experiencia de PHP muestra que los equipos necesitan combinar herramientas automatizadas con criterio humano: los investigadores que encontraron los métodos de ataque usaron IA, pero también conocimiento experto sobre el funcionamiento y las debilidades del software. La pregunta útil para dirección no es solo si existe un parche, sino cuánto tiempo toma aplicarlo y cómo se comprueba que los sistemas críticos quedaron protegidos.
Preguntas frecuentes
¿Mi empresa está en riesgo solo por usar PHP?
Usar PHP no significa que un sitio haya sido atacado. El riesgo depende, entre otros factores, de la versión utilizada, de si se aplicó la actualización y de la exposición de la aplicación; las fuentes señalan que todavía existen versiones obsoletas en funcionamiento.
¿Instalar el parche elimina el problema?
Reduce el riesgo asociado con las vulnerabilidades corregidas, pero no protege automáticamente los sistemas que no fueron actualizados. También es necesario revisar versiones antiguas, intentos de ataque y otros componentes de la aplicación.
¿La IA puede encontrar todas las fallas de mi sistema?
No. Los investigadores señalaron que ningún modelo descubre todas las vulnerabilidades con instrucciones simples. En el caso de PHP, los resultados dependieron tanto de herramientas de IA como de conocimiento especializado y trabajo humano.