Herramientas de inteligencia artificial detectaron vulnerabilidades en PHP, un lenguaje de programación utilizado en aproximadamente el 70 % de los sitios web del mundo. El hallazgo llevó a gobiernos y empresas a desconectar algunas de sus páginas de manera preventiva mientras se aplican medidas para proteger sus sistemas.
Después de que las primeras alertas surgieran el miércoles, varias entidades decidieron mantener sus sitios fuera de servicio al día siguiente. En el Reino Unido, una alta funcionaria del área de tecnología informó que 32 servicios gubernamentales estaban inactivos, principalmente por “medidas de precaución”. Otras páginas que habían dejado de funcionar ya estaban operativas nuevamente.
¿Qué es PHP y por qué es importante para internet?
Creado a principios de la década de 1990, PHP es un lenguaje de programación que permite desarrollar sitios web dinámicos. A diferencia de una página estática, que muestra el mismo contenido a todos los visitantes, una web que utiliza PHP puede consultar bases de datos, verificar sesiones de usuarios y presentar información personalizada.
El lenguaje está presente en plataformas de creación de sitios web como WordPress, Drupal y PrestaShop. Por su alcance, la empresa de ciberseguridad Wiz Research lo describe como “la columna vertebral de la web”.
Las vulnerabilidades identificadas podrían facilitar el acceso no autorizado a diferentes sitios, desde tiendas en línea hasta servicios públicos. Por esa razón, algunas organizaciones optaron por desconectar sus páginas mientras adoptaban medidas de protección.
¿Cómo detectó la inteligencia artificial los fallos?
Wiz y otros grupos utilizaron modelos de inteligencia artificial de última generación, incluidos los desarrollados por OpenAI y Google, para identificar puntos débiles en PHP durante agosto. Los hallazgos se mantuvieron en secreto hasta que se desarrolló una solución.
OpenAI describió este avance como “una nueva etapa, en la que la IA puede detectar fallos de seguridad con un impacto a escala de internet”.
OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.
— OpenAI (@OpenAI) October 21, 2026
Over the past two months, we led a coalition of maintainers, researchers,…
Por su parte, la empresa de ciberseguridad Calif encontró vulnerabilidades durante una auditoría del código de PHP financiada por OpenAI.
Steve Kerrison, profesor de ciberseguridad en el campus de Singapur de la Universidad James Cook, explicó a la AFP el riesgo de divulgar estos descubrimientos: “El problema con herramientas como la IA es que, en el momento en que toda la información se hace pública, la gente puede convertirla en un arma con extrema rapidez”.
“Por eso todo el mundo actúa con tanta urgencia para abordar el problema”, añadió.
¿Las páginas web fueron víctimas de ataques?
Que un sitio esté desconectado no significa necesariamente que haya sido pirateado.
Dimitrios Salampasis, de la Universidad Tecnológica de Swinburne, en Australia, señaló: “Que las páginas web estén fuera de línea no significa necesariamente que hayan sido pirateadas. Puede tratarse de una medida responsable para proteger los sistemas mientras se aplican las actualizaciones de seguridad”.
La Agencia de Seguridad Nacional de Estados Unidos indicó que los fallos “a menudo ofrecen acceso directo al sistema de archivos o a la base de datos del servidor”. Esto podría permitir que un atacante tomara el control sin necesidad de introducir una contraseña.
Sin embargo, Amazon Threat Intelligence informó que detectó un intento de aprovechar las vulnerabilidades antes de la divulgación oficial. “Aún no está claro cómo este actor obtuvo la información”, agregó la empresa.
¿Qué puede pasar después de corregir las vulnerabilidades?
Los riesgos podrían persistir en sistemas que utilizan interfaces de terceros. Rahat Masood, profesor de ciberseguridad de la Universidad de Nueva Gales del Sur, en Sídney, advirtió que, si esas interfaces siguen utilizando PHP, aunque se haya corregido el problema, “sigues siendo vulnerable”.
Por ello, Kerrison recordó la importancia de contar con varias capas de defensa para proteger los sistemas informáticos.
*Con información de AFP.