Hackeos con IA desbordan Internet: falla en PHP expuso al 70% de la web

La seguridad de Internet vive una semana que algunos ya bautizaron como “Black October”. Investigadores usaron IA para detectar una nueva vulnerabilidad en un lenguaje de programación que sostiene al 70% de la web, y la propia industria de la IA advierte que vienen más episodios disruptivos.

Ese lenguaje es PHP, el que corre detrás de buena parte de los sitios del mundo, incluidos los hechos con WordPress, Drupal o Joomla.

Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, fueron bautizadas como “PHP2Shell” y ambas recibieron una calificación de severidad crítica de 9,2 en la escala CVSS v4.0.

En palabras simples, permiten a un atacante tomar el control de un servidor web sin necesidad de iniciar sesión.

Una falla de una década

Lo primero que llama la atención es la antigüedad del problema. Según Wiz, la firma de ciberseguridad que reportó el hallazgo, el código vulnerable llevaba más de diez años presente. Lo segundo es cómo se encontró: Wiz combinó su herramienta Wiz Atlas con Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI, y atribuyó al modelo de Google un rol clave en el descubrimiento.

La empresa asegura que un solo investigador completó en una semana lo que antes le habría tomado meses a un equipo de primer nivel.

Wiz no llegó sola. El primer hallazgo surgió de una auditoría al código fuente de PHP financiada por OpenAI a través de su iniciativa Patch the Planet, y Wiz encontró las fallas de forma independiente semanas después.

La empresa que dio con el problema primero fue Calif, cuyo CEO, Thai Duong, advirtió que cualquier usuario en redes podría tomar los parches, pasarlos por una IA y publicar un script de ataque. Ami Luttwak, cofundador de Wiz, fue más lejos y lo describió como “la vulnerabilidad descubierta con IA más grave que se haya encontrado”.

Pues bien, la comparación histórica que propone Wiz ayuda a dimensionar el caso. La firma lo pone a la altura de Heartbleed, en 2014, y Log4Shell, en 2021, y sostiene que la IA cambia la economía tanto del descubrimiento como de la explotación de fallas.

Sitios de gobiernos, fuera de línea

El plan era una divulgación coordinada, pero se adelantó. La información se filtró el 20 de octubre, antes de lo previsto, y el equipo de seguridad de PHP fijó la publicación del parche para el 21 de octubre a las 14:00 UTC. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

En esa ventana, varios organismos optaron por desconectar sus sitios.

Páginas de gobiernos, colegios y hospitales en Europa salieron de línea, entre ellas las de prefecturas francesas y varios sitios del gobierno alemán administrados por el proveedor federal ITZBund. En Finlandia, la agencia de seguridad Traficom emitió una alerta y recomendó bajar servicios públicos como medida preventiva, y en Reino Unido lo hizo la Oficina de Responsabilidad Presupuestaria. El equipo de respuesta a emergencias de la Unión Europea, CERT-EU, recomendó a los sitios que no pudieran parchar que consideraran desconectarse.

Vaisha Bernard, jefe de hackers de Eye Security, puntualiza que “la vulnerabilidad está en PHP mismo”, por lo que actualizar WordPress o sus plugins no basta. El arreglo tiene que hacerse en el servidor.

América Latina, en la mira

PHP2Shell es el caso más visible, pero se inscribe en una tendencia más amplia. Sin ir más lejos, un grupo de atacantes usó una red de agentes de IA impulsados por modelos como Claude, de Anthropic, y Grok, de xAI, para atacar más de 400 objetivos en América Latina, incluidos bancos y empresas de pagos, según un hallazgo de la firma de seguridad de IA Straiker.

La unidad de inteligencia Unit 42, de Palo Alto Networks, había documentado dos grupos de intrusión con tácticas similares activos en la región al menos desde febrero de 2026.

Las cifras de la industria apuntan en la misma dirección. El informe de caza de amenazas 2026 de CrowdStrike detectó que en el primer trimestre del año las alertas gatilladas por agentes de IA llegaron a 2,5 veces la tasa de las originadas por personas. Adam Meyers, jefe de operaciones de la compañía, lo resume así: la IA ya está incorporada en las operaciones de los atacantes modernos.

Una lectura en tibio hace pensar que el tiempo entre que se descubre una falla y se explota se está acortando más rápido de lo que los equipos de seguridad alcanzan a parchar. Para quien administra un sitio en PHP, la recomendación de las agencias es concreta: actualizar a una versión corregida cuanto antes o mantenerlo fuera de línea hasta hacerlo.