Una falla escondida por más de una década en el lenguaje que mueve cerca del 70% de los sitios web del mundo quedó al descubierto esta semana, y no la encontró un humano revisando código línea por línea: la encontraron modelos de inteligencia artificial. Se trata de dos vulnerabilidades críticas en PHP, bautizadas como “PHP2Shell”, que permitirían a un atacante ejecutar código en un servidor sin necesidad de iniciar sesión.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, recibieron una puntuación de 9.2 sobre 10 en la escala de severidad CVSS. Fueron halladas con ayuda de los modelos GPT-5.6 Sol, de OpenAI, y Gemini 4 Argon, de Google, por investigadores de las firmas Wiz y Calif, que lograron convertir errores de memoria antiguos en un exploit funcional.
La Fundación PHP publicó parches de emergencia el martes 21 de octubre de 2026, en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La publicación se adelantó un día porque el 20 de octubre apareció una filtración sobre las fallas en un foro de hackers, lo que aumentó la urgencia.
La reacción fue inmediata: sitios web de gobiernos europeos en Alemania, Francia y Finlandia se desconectaron por prevención, la Agencia de Seguridad Nacional (NSA) y el FBI de Estados Unidos advirtieron que los servidores sin parchear corren alto riesgo de ser tomados, y la empresa Cloudflare reportó millones de intentos de explotación poco después de hacerse público el problema. Hasta ahora, la Fundación PHP y la firma Dataminr señalan que no se ha confirmado ningún compromiso exitoso.
El caso marca un antes y un después: es la primera crisis de internet a escala descubierta, verificada y mitigada con ayuda de la inteligencia artificial. Y deja una lección incómoda: el código viejo y sin revisar puede convertirse de un día para otro en un riesgo urgente cuando la IA acelera el descubrimiento de fallas. La recomendación de los expertos es directa: actualizar ya, o bajar el sitio hasta poder hacerlo.