Dos fallas en PHP halladas con IA obligan a bancos y gobiernos a desconectar sus sitios

Empresas y gobiernos de Europa y Asia desconectaron el miércoles 21 y el jueves 22 de octubre parte de sus sitios web por dos vulnerabilidades críticas en PHP, el lenguaje de programación con el que funciona cerca del 70% de las webs. Las fallas, bautizadas “PHP2Shell”, se descubrieron con ayuda de inteligencia artificial y permiten a un atacante ejecutar instrucciones en un servidor sin necesidad de contraseña.

Entre quienes suspendieron servicios están la corredora japonesa Nomura, el banco Mitsubishi UFJ, la aerolínea ANA, la ferroviaria East Japan Railway y el grupo de telecomunicaciones francés Orange, según Reuters y El País. Finlandia y Países Bajos apagaron servicios públicos en línea, y el Ministerio del Interior de Francia puso todos sus sitios en mantenimiento preventivo.

Cómo las encontró la IA

La firma de seguridad Calif dice que halló el primer fallo el 1 de agosto con ayuda de un modelo de lenguaje, dentro de “Patch the Planet”, una iniciativa de OpenAI para revisar software crítico. Wiz, la empresa de ciberseguridad de Alphabet, la dueña de Google, llegó al mismo resultado con su herramienta Wiz Atlas y con dos modelos: Gemini 4 Argon, de Google, y GPT-5.6 Sol, de OpenAI. Las dos firmas, OpenAI y el equipo de PHP coordinaron el hallazgo.

Según Wiz, las fallas llevaban más de una década escondidas porque explotarlas era demasiado complejo para un atacante humano. “Antes de la IA, este trabajo manual habría sido difícil de implementar y aún más difícil de escalar. Con la IA, eso ya no es una barrera”, escribió la empresa.

Calif confirmó ataques sin autenticación contra WordPress, Drupal, Joomla, Magento y MediaWiki, entre otras aplicaciones. “Todos los servidores que usen cualquier versión de PHP publicada en los últimos 20 años serán vulnerables”, dijo a Reuters Tiffany Farriss, directora ejecutiva interina de la Drupal Association.

Una carrera contra el reloj

El plan era publicar el parche de forma ordenada, pero detalles de las fallas se filtraron antes de tiempo y el equipo de PHP adelantó la corrección. Salió el miércoles 21, con las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las ramas 8.1 y anteriores no recibieron un arreglo oficial.

Amazon detectó un intento de explotación en uno de sus sistemas señuelo el 17 de octubre, cuatro días antes del anuncio público, informó su jefe de seguridad, CJ Moses. Después vino la avalancha. “En las 10 horas previas a su anuncio público, observamos en nuestra red miles de intentos de explotarlo. Eso saltó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas y a millones ahora”, escribió en X Matthew Prince, director ejecutivo de Cloudflare.

La misma IA que sirvió para encontrar las fallas sirve para atacarlas: con el parche publicado, estas herramientas pueden deducir el error con poco esfuerzo, advirtieron expertos citados por Reuters. “La escala es enorme y, con la IA, la explotación puede ocurrir al instante”, dijo Lukasz Olejnik, investigador del King's College de Londres.

Qué significa para las empresas de la región

Los cierres confirmados se concentraron en Europa y Asia, pero el riesgo es igual para cualquier sitio con PHP en Latinoamérica: tiendas en WordPress o Magento, portales de clientes, intranets. Los más expuestos, según Reuters, son los sitios pequeños de organizaciones con pocos recursos técnicos, a menudo en hosting compartido, donde el cliente no administra el servidor.

Cinco preguntas para hacerle hoy a tu equipo o a tu agencia:

1. ¿Qué corre en PHP? El sitio, la tienda, los portales y también productos de terceros. PHP puede estar presente “a veces sin que la organización que lo utiliza se dé cuenta”, advirtió a la BBC Don Smith, de Sophos.
2. ¿En qué versión? En 8.2, 8.3, 8.4 u 8.5, hay que actualizar ya. En 8.1 o una anterior no hay parche: toca migrar.
3. ¿Quién actualiza el hosting? En un hosting compartido depende del proveedor. Pídele por escrito la confirmación de que aplicó la corrección.
4. ¿Y si no se puede actualizar? Las agencias de ciberseguridad de Reino Unido y España recomiendan desconectar el sistema hasta corregirlo.
5. ¿Ya entraron? Un servidor expuesto sin parche necesita una revisión de intrusiones, no solo la actualización.

Qué mirar

Si las agencias confirman intrusiones exitosas en sitios sin parche, cuánto tardan en volver los servicios desconectados y qué hacen quienes siguen en versiones de PHP que ya no reciben correcciones.

A partir de información de PHP (aviso de seguridad de octubre de 2026), Calif y Wiz.