Artículo de Julien Ricciarelli-Bonnal
24 octubre 2026
Lo esencial
El 21 de octubre de 2026, los responsables de PHP publicaron actualizaciones urgentes para corregir dos vulnerabilidades críticas identificadas mediante investigaciones que utilizaron inteligencia artificial. Los fallos, conocidos conjuntamente como PHP2Shell, pueden permitir la ejecución remota de código en determinados servidores vulnerables. El incidente ha provocado una movilización internacional, con servicios desconectados temporalmente durante la aplicación de medidas de protección. PHP se utiliza en aproximadamente el 70 % de los sitios web, aunque eso no significa que todos sean vulnerables. La cuestión más importante supera este episodio: la IA acelera la identificación de fallos de seguridad, pero corregirlos y distribuir las actualizaciones continúa dependiendo de recursos técnicos, humanos y organizativos.
Durante décadas, descubrir vulnerabilidades importantes en programas informáticos ha exigido conocimientos especializados y un trabajo de investigación considerable. Los expertos estudian el funcionamiento del código, buscan comportamientos inesperados y comprueban si determinados errores pueden convertirse en oportunidades reales de ataque. En sistemas complejos, demostrar que una debilidad resulta explotable puede llevar semanas o meses.
La publicación de dos vulnerabilidades críticas en PHP el 21 de octubre de 2026 ha mostrado hasta qué punto la inteligencia artificial está modificando determinadas fases de ese trabajo. Investigadores que utilizaron modelos avanzados contribuyeron a demostrar la gravedad de problemas presentes en uno de los lenguajes más extendidos de Internet. Posteriormente, los responsables del proyecto y varias empresas de ciberseguridad coordinaron los correctivos.
El episodio no demuestra que todos los sitios que utilizan PHP puedan ser atacados de la misma manera. Tampoco significa que una inteligencia artificial haya realizado por sí sola toda la investigación. Su importancia reside en otra cuestión: la velocidad de descubrimiento de las vulnerabilidades podría aumentar mucho más deprisa que la capacidad de las organizaciones para corregirlas.
Dos fallos que afectan a mecanismos internos de PHP
PHP es un lenguaje de programación que se ejecuta en servidores y permite desarrollar sitios web dinámicos, tiendas electrónicas y numerosas aplicaciones empresariales. Según las estimaciones citadas durante la crisis, se utiliza en aproximadamente el 70 % de los sitios de Internet. Esta proporción indica su difusión, no el número de instalaciones expuestas específicamente a los fallos anunciados.
Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 recibieron una calificación crítica de 9,2 en CVSS 4.0. Ambas afectan a mecanismos internos del lenguaje, relacionados con la gestión de memoria y el tratamiento de errores. La primera puede provocar corrupción de memoria cuando se alcanza un límite de recursos en circunstancias particulares. La segunda está relacionada con información interna que puede quedar en un estado inválido después de determinados errores graves.
Las consecuencias potenciales son importantes. En configuraciones vulnerables y bajo ciertas condiciones, un atacante puede llegar a ejecutar instrucciones remotamente sin autenticarse previamente. Esta posibilidad se conoce como ejecución remota de código, o RCE, y puede comprometer aplicaciones y recursos accesibles desde el proceso afectado. No equivale, sin embargo, a afirmar que cualquier instalación de PHP pueda ser explotada automáticamente.
El proyecto publicó el 21 de octubre las versiones corregidas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. La reparación era especialmente delicada porque los problemas afectaban a funciones fundamentales del lenguaje. Corregirlas exigía preservar la compatibilidad con aplicaciones y extensiones existentes, evitando que una modificación destinada a mejorar la seguridad provocara nuevos errores de funcionamiento.
La inteligencia artificial acelera la investigación, pero no sustituye a los expertos
OpenAI explicó que, mediante su iniciativa Patch the Planet, la empresa de ciberseguridad Calif había identificado un fallo crítico utilizando GPT-5.6 Sol. Paralelamente, Wiz descubrió y comunicó de manera independiente las dos vulnerabilidades, empleando también herramientas de inteligencia artificial durante su investigación. La identificación de los problemas fue, por tanto, el resultado del trabajo de diferentes equipos y tecnologías.
Existe además un detalle histórico esencial. La Fundación PHP reconoce que los primeros indicios del problema relacionado con la primera vulnerabilidad habían aparecido en 2024, después de una auditoría de seguridad. Sin embargo, los investigadores no habían conseguido establecer entonces una vía concreta de explotación suficientemente clara. Los intentos de reparación también encontraron dificultades por sus posibles efectos sobre la compatibilidad y por la escasez de recursos especializados.
Las investigaciones realizadas en 2026 contribuyeron a demostrar que una debilidad conocida podía tener consecuencias mucho más graves de lo que se había conseguido acreditar anteriormente. Los modelos avanzados pueden ayudar a explorar interacciones complejas entre componentes, analizar comportamientos excepcionales y comprobar hipótesis técnicas. Esta capacidad reduce parte del tiempo necesario para tareas que tradicionalmente exigían una investigación manual intensiva.
Pero detectar una vulnerabilidad no equivale a producir automáticamente una solución segura. Los responsables del lenguaje deben reproducir el defecto, estudiar sus causas, desarrollar una modificación y comprobar que funciona en los distintos entornos afectados. La Fundación PHP ha insistido en que las decisiones de seguridad y los correctivos siguen estando a cargo de personas. La inteligencia artificial amplía las capacidades de investigación sin eliminar la necesidad de conocimientos técnicos especializados.
La ventaja de los defensores puede desaparecer antes de distribuir los correctivos
Una vulnerabilidad grave no suele comunicarse públicamente en cuanto se descubre. Antes de revelar los detalles, los investigadores y responsables del software intentan preparar una corrección, coordinar a los distribuidores y permitir que los proveedores de infraestructura desarrollen protecciones adicionales. El objetivo consiste en reducir el intervalo durante el cual los atacantes conocen el problema mientras las organizaciones todavía no pueden solucionarlo.
OpenAI denomina Defender’s Window al tiempo de ventaja que los defensores pueden conseguir cuando una vulnerabilidad se identifica antes de que sea aprovechada por actores maliciosos. En el caso de PHP, investigadores, responsables de mantenimiento y proveedores de seguridad trabajaron durante semanas para preparar la respuesta.
Sin embargo, la coordinación sufrió dificultades poco antes de la publicación. El 20 de octubre comenzaron a circular identificadores de las vulnerabilidades junto a datos incorrectos. También se difundió por error un vídeo con una demostración técnica. Como consecuencia, los responsables de PHP adelantaron la distribución de los correctivos, inicialmente prevista para el 22 de octubre, al día 21. La Fundación denunció además la publicación anticipada de componentes corregidos por parte de un distribuidor.
Estos incidentes muestran por qué el calendario de divulgación es una cuestión de seguridad. Cuando una actualización se hace pública, comparar el código anterior con el corregido puede ofrecer pistas sobre la debilidad que se pretende eliminar. La técnica, conocida como análisis diferencial de parches, puede utilizarse legítimamente para estudiar las correcciones, pero también puede ayudar a desarrollar ataques contra instalaciones que todavía no se han actualizado.
La inteligencia artificial podría reducir el tiempo necesario para efectuar ese análisis. Sin embargo, conviene distinguir las posibilidades técnicas de los hechos observados. Hasta el 23 de octubre se habían comunicado intentos de explotación, pruebas y actividades de reconocimiento. CrowdStrike indicó que no había observado explotaciones exitosas en sus entornos de vigilancia y subrayó que convertir determinadas pruebas en ataques fiables seguía siendo técnicamente complejo. La existencia de un riesgo crítico no permite considerar que todas las amenazas anunciadas se hayan materializado.
El verdadero problema puede estar en localizar todos los sistemas vulnerables
La extensión de PHP explica la reacción internacional. Administraciones, empresas y operadores digitales tuvieron que examinar sus instalaciones, mientras algunos servicios se desconectaban temporalmente durante las verificaciones o actualizaciones. Estas interrupciones no significaban necesariamente que se hubiera producido una intrusión. En diferentes casos respondían a decisiones preventivas para reducir la exposición.
Las condiciones de explotación varían según la versión utilizada, el servidor web, las extensiones y el funcionamiento de cada aplicación. Por ello, el hecho de utilizar PHP no permite determinar por sí solo si una instalación concreta puede ser comprometida mediante estas vulnerabilidades. El análisis de exposición requiere información técnica específica.
Para muchas empresas, conseguir esa información es precisamente la dificultad inicial. Una organización puede conocer perfectamente su plataforma de comercio electrónico o el programa utilizado para gestionar clientes, pero ignorar qué versión de PHP funciona detrás de cada servicio. Antiguas aplicaciones internas, páginas mantenidas por proveedores externos y herramientas poco utilizadas pueden quedar fuera de los inventarios habituales.
La respuesta exige identificar los sistemas afectados, comprobar las versiones instaladas, entender sus dependencias y coordinar las actualizaciones con los equipos responsables. Los mecanismos de protección temporal, como determinadas reglas de cortafuegos para aplicaciones web, pueden reducir el riesgo mientras se prepara una reparación definitiva. Pero no sustituyen la instalación de las correcciones oficiales cuando estas resultan necesarias.
El problema muestra además una dimensión organizativa que supera la ciberseguridad estrictamente técnica. Cuantas más aplicaciones, proveedores y procesos utiliza una empresa, más importante resulta saber quién controla cada componente y quién puede intervenir cuando aparece un incidente. Esta preocupación se relaciona con los costes y las responsabilidades que surgen cuando los agentes de IA comienzan a actuar por cuenta propia. Aunque las circunstancias tecnológicas sean diferentes, ambos fenómenos ponen de relieve la necesidad de mantener responsabilidades y mecanismos de supervisión claramente identificados.
La nueva carrera de ciberseguridad también depende de los recursos humanos
Uno de los aspectos menos visibles de esta crisis es la diferencia entre la importancia económica del software y los medios disponibles para mantenerlo. Numerosas infraestructuras comerciales dependen de proyectos de código abierto gestionados por equipos relativamente pequeños. La utilización masiva de una tecnología no garantiza que sus responsables cuenten con recursos proporcionales a su importancia.
La Fundación PHP reconoció que el trabajo sobre una de las debilidades se había retrasado por problemas de organización, dificultades para decidir entre varias soluciones y falta de especialistas disponibles. La entidad ha comenzado a modificar sus procedimientos de seguridad. Al mismo tiempo, el desarrollo de herramientas de inteligencia artificial está incrementando la cantidad de informes recibidos, incluidos errores que finalmente resultan duplicados, incorrectos o imposibles de reproducir.
Aquí aparece una paradoja. Si los modelos identifican vulnerabilidades con una frecuencia cada vez mayor, los equipos responsables de corregirlas tendrán que analizar más información, verificar más demostraciones y desarrollar más modificaciones. El aumento de la capacidad de detección no garantiza que la capacidad de mantenimiento crezca al mismo ritmo.
Esta transformación requiere organizar prioridades, asignar responsabilidades y reforzar la coordinación entre investigadores, responsables del software y empresas usuarias. En el ámbito empresarial, la reflexión conecta con los principios de una gobernanza de IA para empresas que permita distinguir las capacidades de una tecnología de las condiciones necesarias para utilizarla de forma controlada. La velocidad puede resultar valiosa, pero solo si las organizaciones disponen de medios para aprovecharla.
La iniciativa Patch the Planet busca precisamente establecer mecanismos de colaboración que faciliten la investigación, la preparación de correctivos y su despliegue. Su utilidad no depende exclusivamente de las prestaciones de un modelo concreto, sino de la capacidad para convertir una información técnica en una protección realmente disponible para quienes utilizan el software.
El incidente PHP2Shell muestra que la inteligencia artificial puede hacer visibles problemas que llevaban años presentes en tecnologías ampliamente utilizadas. No demuestra que los defensores vayan a conservar siempre la ventaja, ni que los atacantes consigan necesariamente aprovechar cada nueva vulnerabilidad. Lo que cambia es la rapidez potencial con la que una debilidad puede convertirse en una amenaza demostrable.
Durante años, descubrir una vulnerabilidad antes que los atacantes podía ofrecer un margen relativamente amplio para preparar la respuesta. A medida que ambos lados incorporan herramientas de análisis más potentes, ese margen puede reducirse. La seguridad de Internet dependerá entonces no solo de encontrar los fallos, sino de disponer de personas, recursos y organizaciones capaces de corregirlos antes de que la velocidad de los ataques supere la capacidad de defensa.
Escrito por Julien Ricciarelli-Bonnal
24 octubre 2026
