El primer impacto realmente visible de la IA en el mundo real es la ciberseguridad: ha cambiado completamente de forma y tamaño
Si algo tiene que seguir la filosofía Apple de "simplemente, funciona" al pie de la letra, eso es Internet. De hecho, no nos preguntamos qué pasa hasta que algo va mal. Y ayer las cosas se pusieron muy, muy feas. Dos vulnerabilidades críticas en PHP, que es el lenguaje en el que corre buena parte de las webs del planeta, obligaron a distintos servicios públicos europeos a desconectarse de la red.
En este caso no era un nuevo capítulo LaLiga contra Cloudflare, sino de algo mucho más serio en el marco de la ciberseguridad y que demuestra cómo la IA, en este caso, puede ser una gran aliada para encontrar antes que nadie errores críticos en el software.
En corto. Este pasado 21 de octubre a medio día saltaron las alarmas. La comunidad PHP publicó una serie de versiones que corregían dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) que permitían que un atacante pudiera ejecutar código en un servidor sin tener que iniciar sesión. Cuando un actor no malicioso encuentra vulnerabilidades así, los organismos de ciberseguridad lanzan un aviso con una recomendación directa: actuar cuanto antes y considerar dejar los sistemas fuera de linea.
¿Por qué? Pues porque las vulnerabilidades afectaban a cómo PHP maneja ciertos errores de memoria durante las peticiones de servicio de las webs, existiendo la posibilidad de que el servidor quede en un estado inseguro y, por tanto, el atacante puede aprovechar el comportamiento para ejecutar código de forma remota. Ese atacante tiene, directamente, las llaves de los servidores que alimentan a más de medio Internet.
Esto se tradujo en países como España, Francia, Dinamarca, Finlancia o Países Bajos 'tirando' páginas y servicios públicos (como páginas estatales de seguridad, educación o de la Administración) en un claro gesto de cortar por lo sano. Se estima que PHP está presente en el 69,3% de las webs y quizá el ejemplo más reconocible es un WordPress que alimenta casi el 40% de todas las webs. Es una cifra demencial.
Rastreator. Ahí entra en juego la inteligencia artificial. Guste más o menos la IA, hay que separar la inteligencia general generativa de la que se puede usar en investigación o en materia de ciberseguridad. OpenAI, por ejemplo, tiene un programa llamado Patch the Planet que financia a investigadores para ayudar a encontrar vulnerabilidades en la red.
La firma de seguridad Wiz fue de las primeras en dar el aviso. Empleando tanto GPT-5.6 Sol como Gemini 4 Argon, demostró ejecución remota de código en WordPress, Drupal y Joomla. Dentro del programa Patch the Planet, otra firma llamada Calif amplió la lista de sitios vulnerables a Magneto, MediaWiki, Nextcloud o phpMyAdmin. Entre esas siete está prácticamente todo Internet que depende de PHP.
El papel del humano. Ahora bien, la IA no hizo el trabajo sola. El investigador Ryan Austin de Calif explicó que, para encontrarlo, partió de un problema conocido: un error de memoria que se había reportado a PHP en 2020 y que una auditoría externa de 2024 volvió a detectar. Es curioso que pase esto, pero aunque el error estaba ahí, no se había podido demostrar que se pudiera explotar.
Entonces, Austin usó un modelo para encontrar formas de provocar ese error a voluntad y, de paso, revisar el código en busca de puntos vulnerables. Después pidió al modelo que convirtiera el patrón en una instrucción reutilizable, con la que apareció la segunda vulnerabilidad. Desde Calif se expone que no usaron herramientas especiales ni modelos que no estuvieran disponibles para cualquiera y que ningún modelo encuentra todos esos errores si no hay un humano que conoce el historial o el objetivo de los ataques.
Por su parte, en Wiz los investigadores encadenaron los fallos y adaptaron el ataque con los modelos como apoyo, asegurando que un solo investigador hizo en una semana lo que antes habría requerido meses y un equipo de primer nivel. Eso sí, aclara que adaptar el ataque a cada versión de PHP y configurarlo fue un trabajo de especialistas, aunque los modelos permiten acelerarlo todo.
La ciberseguridad como meta de la IA. Porque tanto OpenAI como Anthropic llevan meses moviéndose con la ciberseguridad en el punto de mira. Son empresas que quieren hacer dinero y, además, buscan salir a bolsa. Cuando parece que muy pocos particulares están dispuestos a pagar el precio de una tecnología tan astronómicamente cara, deben encontrar otras fuentes de ingresos, y la ciberseguridad es el escenario ideal. Ambas han ido creando sus modelos más y más capaces para la tarea de encontrar errores críticos en sistemas y, si ya OpenAI con GPT-5 apuntaba maneras a finales de 2025, fue el Mythos de Anthropic el que encendió las alarmas.
En su presentación, Anthropic comentó que había identificado miles de vulnerabilidades graves tanto en todos los sistemas operativos como en todos los navegadores, entre ellas fallos que llevaban décadas entre nosotros en sistemas como OpenBSD o FFmpg. Pusieron el modelo al servicio de empresas bajo el Proyecto Glasswing y no pasó mucho hasta que organizaciones como Mozilla comentaban que estaba siendo de gran ayuda para parchear errores críticos que no habían visto.
OpenAI ha ido exactamente por el mismo camino con GPT-6 Astra, afirmando que alcanza un nivel del 100% en exámenes como ExploitBench frente al 78,5% de GPT-5.6 Sol y que había podido ejecutar código arbitrario en navegadores con todas las protecciones encendidas. Mythos no están disponible en versión comercial y se ofrece a compañías dentro de estrictos programas de seguridad yu, aunque GPT-6 Astra sí lo está, la versión para usuarios rechaza lanzar tareas ofensivas avanzadas, como puede ser crear pruebas de concepto de exploits.
Descuidos viejos, problemas nuevos. Y el problema de fondo es que, aunque esto explotó hace unas horas, era una bomba de relojería. Días antes de la divulgación de los parches y el error de PHP, Amazon Threat Intelligence detectó en una red de servidores trampa un intento de explotar la vulnerabilidad PHP2Shell. Amazon cree que lo hizo un actor malicioso porque la información sobre la vulnerabilidad aún no se había hecho pública y reconocen que no saben cómo consiguieron esa información,
Cloudflare también había informado de ataques a sus sistemas en una acción que parecía tener relación con la que vieron desde Amazon y, como digo, el problema es que esto viene de lejos. Según Sansec (una firma de expertos en seguridad en comercio electrónico), hay código vulnerable que se remonta a PHP 5.4, de 2012, de donde salió PHP2Shell. Y ya hemos contado que el error de memoria conocido desde 2020 y vuelto a ver en 2024 estaba ahí listo para que alguien lo explotara.
Y si la pregunta es cómo es posible que nunca se corrigiera, la explicación es la más humana posible: la Fundación PHP lo conocía perfectamente, pero el proceso de parcheo se atascó por falta de consenso y recursos.
Ningún software está a salvo de que le encuentren vulnerabilidades. Hoy toca actualizar php. Un día más en el mundo de la ciberseguridad - INCIBE-CERT
¿Y en España? Si tal cantidad de páginas web son vulnerables, es de suponer que en España, con los dominios .es, tengamos unas cuantas. Desde el INCIBE-CERT nos comentan que llevan días siguiendo esta vulnerabilidad y publicaron un aviso a primera hora de la mañana del 21 de octubre con recomendaciones de seguridad. Apuntan que, al menos en ese momento, no tenían datos sobre que en España se hayan dado ataques aprovechando esas vulnerabilidades y que, aunque seguramente sea la peor brecha de la historia de PHP, sigue siendo un sistema muy seguro.
Sobre la cantidad de dominios afectados, comentan que "España no va a estar más afectada ni menos que otros países", pero que de los alrededor de dos millones de dominios .es activos, calculan que hay cerca de millón y medio que usen PHP y que la gran mayoría están alojadas en hosting compartidos donde es la empresa la que actualizará para todos los clientes, sin que ellos tengan que hacer nada. Ver ayer la página del CCN-CERT con el aviso de que está cerrada no es que fuera muy alentador.
Qué pasa ahora. Como dicen desde el INCIBE, "un día más en el mundo de la ciberseguridad". Y sí, pero el problema es que, si las firmas de ciberseguridad y organizaciones tienen herramientas poderosísimas a su alcance para explotar vulnerabilidades antes que "los malos" y poder parchearlas poniendo la tirita antes de la herida, los actores maliciosos también cuentan con sistemas nuevos que pueden poner a trabajar para descubrir grietas.
Ya hemos dicho que GPT-6 rechaza las órdenes de ataque para encontrar exploits, pero en el mundo de la IA no sólo está el código cerrado, sino herramientas de código abierto y los modelos pesados que cobran cada vez más importancia y que tienen una base de entrenamiento sobre la que otras personas pueden seguir construyendo. Y, aunque la ciberseguridad siempre ha sido una carrera del gato y el ratón, con la IA esa carrera sube de velocidad de forma vertiginosa.
Imagen | Mohammad Rahmani
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.