Durante diez años, una parte esencial de internet convivió con errores que habían pasado inadvertidos. Aunque existían indicios previos, llevar esas fallas a un ataque real era tan complejo que por mucho tiempo quedaron fuera del alcance práctico de la tecnología.
27 de octubre 2026 - 18:00
Una amenaza oculta por una década: cómo la IA expuso fallas invisibles en el corazón de internet
Investigadores encontraron errores críticos en una tecnología usada por millones de páginas y alarmaron sobre el impacto de la inteligencia artificial en la ciberseguridad.
-
Llega al país plataforma para medir talento y mejorar la selección de personal en energía y minería
-
Inteligencia artificial en RRHH: las claves para pasar de la experimentación a una estrategia de negocio en 2027
La inteligencia artificial se enfocó en los riesgos ocultos dentro de la infraestructura de internet.
Esa situación cambió con la inteligencia artificial, ya que sus herramientas capaces de revisar código, probar combinaciones y repetir tareas de forma automática lograron acelerar un trabajo que antes podía demandar meses a especialistas en seguridad.
¿Qué es PHP y por qué su caída afecta a millones de sitios web en todo el mundo?
PHP es un lenguaje de programación usado para construir y ejecutar páginas y aplicaciones web. Su importancia radica en la enorme cantidad de plataformas que dependen de él, entre ellas están WordPress, Drupal, Joomla y MediaWiki, la tecnología detrás de Wikipedia.
Según Wiz, alrededor del 70% de las páginas web usan PHP de alguna manera. Los investigadores detectaron dos vulnerabilidades críticas dentro del propio motor del lenguaje, ya que los errores podían permitir que un atacante:
-
ejecutara código de manera remota
accediera a información almacenada en memoria
obtuviera contraseñas o tokens
comprometiera servidores
interrumpiera servicios
El problema no dependía de una falla en WordPress, Drupal u otra aplicación. La vulnerabilidad estaba dentro de PHP, por lo que incluso aplicaciones muy simples podían quedar expuestas si funcionaban con una versión afectada. El origen se debía a la forma en que PHP manejaba ciertos errores graves, especialmente cuando un servidor se quedaba sin memoria.
En determinadas situaciones podían quedar datos internos sin limpiar correctamente, de hecho, un atacante capaz de manipular ese comportamiento podía aprovechar la información residual para acceder a datos o ejecutar instrucciones. Las fallas quedaron agrupadas bajo los códigos CVE-2026-109618 y CVE-2026-109619.
La carrera contrarreloj de gobiernos y desarrolladores tras el descubrimiento de los errores
El descubrimiento puso en marcha una respuesta coordinada entre investigadores, responsables de PHP y empresas de infraestructura digital. Calif detectó una de las vulnerabilidades usando GPT-5.6 Sol dentro de la iniciativa Patch the Planet de OpenAI. Wiz encontró problemas relacionados y colaboró en la validación de los ataques y de las soluciones.
Las pruebas demostraron que era posible alcanzar la ejecución remota de código sin autenticación en instalaciones de WordPress, Drupal y Joomla. El proceso se mantuvo bajo reserva mientras se preparaban las correcciones, hasta que PHP finalmente publicó el parche el 21 de octubre de 2026 y recomendó actualizar inmediatamente a versiones seguras como:
-
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
La recomendación alcanza a instalaciones que reciben solicitudes web a través de PHP-FPM, Apache, php-cgi y otras configuraciones. El desafío ahora está en los sistemas que todavía usan versiones antiguas.
Actualizar una aplicación completa puede requerir tiempo, pruebas y modificaciones adicionales, especialmente en empresas que dependen desde hace años de desarrollos construidos sobre PHP. Por eso, incluso después de publicado el parche, los especialistas remarcaron que la prioridad es identificar qué servidores siguen expuestos.
Cuando la IA ayuda a encontrar vulnerabilidades antes que los hackers
El caso abrió una discusión más amplia sobre el papel de la inteligencia artificial en la seguridad informática. Durante años, algunas vulnerabilidades se mantuvieron sin explotar porque convertir un error teórico en un ataque funcional requería una cantidad enorme de tiempo y trabajo manual.
Pero la IA cambia esa ecuación, ya que los modelos pueden analizar código, probar variantes y repetir procesos sin cansarse hasta encontrar una combinación que funcione. Wiz explicó que usó herramientas como Gemini 4 Argon, GPT-5.6 Sol y Wiz Atlas durante su investigación, modelos que ayudaron tanto a descubrir los problemas como a desarrollar y validar métodos para explotarlos.
Por el otro lado, OpenAI señaló que las fallas fueron encontradas por investigadores antes de que hubiera evidencia de que las estuvieran usando los atacantes, lo que permitió coordinar el parche antes de revelar públicamente los detalles técnicos.
Pero la preocupación está en lo que puede pasar la próxima vez, ya que las mismas herramientas que ayudan a los especialistas a encontrar un error también pueden reducir el esfuerzo necesario para que actores maliciosos conviertan una falla en un ataque.
Hasta ahora, muchas vulnerabilidades estaban fuera del radar porque explotarlas era demasiado costoso o complejo, pero con la IA, esa barrera empieza a desaparecer.
