La IA encuentra una amenaza escondida por más de una década en el código de internet
Dos fallas críticas en PHP, el lenguaje que sustenta gran parte de internet, obligaron a gobiernos europeos y empresas globales a desconectar sitios el miércoles como medida de emergencia.
Fallas ocultas durante más de una década
Las vulnerabilidades permanecieron escondidas en el código fuente de PHP durante más de diez años y fueron descubiertas mediante inteligencia artificial. La firma de ciberseguridad Calif y OpenAI las reportaron de forma independiente en agosto; posteriormente, Wiz —empresa de seguridad en la nube propiedad de Google— identificó nuevas formas de explotarlas.
Los desarrolladores de PHP publicaron correcciones urgentes el miércoles y recomendaron «a todos los usuarios que actualicen inmediatamente». Sin embargo, los detalles de las fallas se filtraron un día antes del lanzamiento previsto del parche, lo que desencadenó una carrera contrarreloj para proteger los sistemas.
La NSA advirtió que las fallas «a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor» y que los atacantes pueden utilizarlas para tomar control de servidores web sin necesidad de contraseña. Agencias de ciberseguridad de Europa, Australia, Japón y el Reino Unido se sumaron al llamado urgente de actualización.
Sitios gubernamentales y Wikipedia fuera de línea
En los Países Bajos, la propia agencia de ciberseguridad se desconectó de la red, junto con el servicio nacional de identidad digital DigiD, el sitio de la Cámara de Representantes y el centro nacional de ciberseguridad. En Francia, administraciones locales, incluida la Prefectura de Policía de París, quedaron inaccesibles desde la tarde del miércoles a solicitud de la Agencia Nacional de Ciberseguridad francesa.
Wikipedia también anunció la desconexión de un número no especificado de sistemas hasta que puedan parchearse de forma segura. «Este problema afecta a la mayor parte de internet», señaló Tiffany Farriss, directora ejecutiva interina de la Asociación Drupal, advirtiendo que todos los servidores con cualquier versión de PHP lanzada en los últimos 20 años son vulnerables.
El papel de la IA en el descubrimiento
Wiz explicó que su investigación utilizó Wiz Atlas —su herramienta autónoma de análisis de vulnerabilidades— junto con Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI. La empresa coordinó el hallazgo con el equipo de PHP, OpenAI y Calif, y colaboró con Google Cloud, Cloudflare, AWS, Microsoft, Automattic y otras compañías para preparar medidas de mitigación.
La Casa Blanca indicó que tuvo conocimiento de la vulnerabilidad el viernes y calificó el descubrimiento como evidencia de por qué «el liderazgo estadounidense en superinteligencia es tan crucial». De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord del año pasado.