Crédito CNN
Por Alonso Rosales
PHP es uno de los lenguajes de programación más utilizados en internet y constituye una pieza fundamental de plataformas como WordPress, Drupal y Joomla, además de numerosos servicios digitales.
De acuerdo con la investigación de Wiz, las vulnerabilidades afectan al núcleo de PHP y pueden permitir que un atacante ejecute instrucciones en un servidor sin necesidad de autenticarse. También pueden facilitar la exposición de datos sensibles almacenados temporalmente en la memoria del sistema.
Las fallas fueron registradas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de gravedad de 9,2 sobre 10. Entre sus consecuencias potenciales figuran el robo de información, la alteración de sitios web y la interrupción de servicios digitales.
Cloudflare confirmó que desplegó protecciones para sus clientes y advirtió que estas medidas no sustituyen la instalación de las actualizaciones oficiales. La compañía también informó que había observado tráfico de ataques que intentaban aprovechar las vulnerabilidades. .
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones que utilizan PHP a actualizar sus sistemas y, cuando no puedan aplicar las correcciones, considerar la desconexión de los servicios vulnerables para reducir los riesgos.
El descubrimiento también tuvo repercusiones operativas: algunos administradores optaron por desconectar temporalmente sitios y servicios mientras evaluaban su exposición y aplicaban medidas de protección.
Los especialistas de Wiz compararon PHP2Shell con Heartbleed, una vulnerabilidad revelada en 2014 que afectó a OpenSSL, una tecnología utilizada para proteger las comunicaciones en internet.
Heartbleed permitió que sistemas vulnerables expusieran fragmentos de memoria que podían contener información confidencial. Su impacto evidenció hasta qué punto un error en un componente ampliamente utilizado puede repercutir en numerosos servicios digitales.
La comparación con PHP2Shell no significa que ambos fallos sean técnicamente idénticos. La semejanza principal está en su alcance potencial y en el riesgo que representa una vulnerabilidad presente en una tecnología de la que dependen millones de operaciones en línea.
La diferencia crucial en el caso actual es el papel que desempeñó la inteligencia artificial: ayudó a superar obstáculos técnicos que durante años habían dificultado convertir errores existentes en métodos de ataque viables.
El hallazgo plantea una cuestión que gobiernos, empresas tecnológicas y especialistas en seguridad informática tendrán que afrontar con mayor urgencia: ¿qué sucede cuando la inteligencia artificial reduce drásticamente el tiempo y la experiencia necesarios para descubrir vulnerabilidades críticas?
Por un lado, los investigadores pueden utilizar estos sistemas para examinar grandes cantidades de código, detectar fallas difíciles de identificar y desarrollar soluciones con mayor rapidez. Esta capacidad puede fortalecer la seguridad de infraestructuras digitales que sostienen actividades económicas, servicios públicos, comunicaciones y operaciones financieras.
Por otro, las mismas capacidades podrían facilitar el trabajo de actores maliciosos. Si una técnica de explotación que antes requería meses de conocimientos especializados puede desarrollarse en menos tiempo, más atacantes podrían intentar aprovechar sistemas que todavía no han sido actualizados.
Esto no significa que la IA vuelva inevitable un ciberataque ni que todos los sitios afectados hayan sido vulnerados. El riesgo depende de factores como la versión del software, la configuración de los servidores, las medidas de protección y la rapidez con que los administradores implementen las correcciones.
Sin embargo, el caso muestra que la complejidad técnica ya no constituye una barrera tan sólida como antes. La inteligencia artificial está cambiando tanto la velocidad del descubrimiento como las condiciones necesarias para transformar una debilidad informática en una amenaza concreta.
La Fundación PHP publicó actualizaciones de seguridad para corregir las vulnerabilidades. Las organizaciones que administran sitios web deben comprobar qué versiones utilizan, aplicar los parches correspondientes y revisar sus registros para detectar posibles intentos de explotación.
Entre las principales medidas recomendadas figuran:
Los usuarios particulares no necesitan asumir que sus cuentas han sido comprometidas por el simple hecho de visitar sitios que utilizan PHP. Lo más prudente es mantener actualizados sus dispositivos, utilizar contraseñas únicas y autenticación multifactor cuando esté disponible, y prestar atención a las comunicaciones legítimas de los servicios que utilizan.
La vulnerabilidad PHP2Shell deja una conclusión que va más allá de un problema informático: la seguridad digital depende tanto de la capacidad de descubrir errores como de la rapidez para corregirlos.
La inteligencia artificial permitió a los investigadores identificar y demostrar riesgos que habían permanecido ocultos durante años. Pero esa misma aceleración obliga a empresas, instituciones públicas y proveedores tecnológicos a reducir los tiempos de respuesta y a tratar las actualizaciones de seguridad como una prioridad operativa.
El desafío ya no consiste únicamente en desarrollar sistemas más inteligentes, sino en garantizar que sus avances se traduzcan en una infraestructura digital más resistente.
La IA puede convertirse en una de las herramientas más importantes para defender internet. PHP2Shell demuestra, al mismo tiempo, que la ventaja tecnológica puede cambiar de manos rápidamente cuando los sistemas vulnerables permanecen sin protección.
Fuentes consultadas: