Una IA tardó dos días en romper una falla de PHP que estuvo abierta 22 años

PHP es el lenguaje de programación con el que está armada la mayoría de los sitios web del mundo, cerca del 70% de internet según la propia fuente de esta noticia. Por eso importa lo que OpenAI contó hace pocos días: una inteligencia artificial encontró, en apenas dos jornadas de trabajo, la forma de explotar un agujero de seguridad en ese lenguaje que llevaba 22 años sin resolverse del todo.

El problema lo había marcado por primera vez el investigador Stefan Esser, en julio de 2004. Durante dos décadas, nadie logró convertir esa advertencia en un ataque real: hacía falta que un servidor se quedara sin memoria en un instante muy puntual, algo que exigía probar combinación tras combinación hasta esquivar las defensas del sistema. Ese trabajo manual, lento y repetitivo, era justamente lo que mantenía a salvo a millones de páginas.

Eso cambió el 30 de julio de 2026, cuando la empresa de seguridad Calif aplicó un modelo de lenguaje a PHP dentro de Patch the Planet, un programa de OpenAI pensado para encontrar fallas antes que los atacantes. El 1 de agosto la IA ya había dado con un método de ataque funcional, y en los días siguientes sumó otros. Después, la firma Wiz —respaldada por Google y también metida en el programa— encontró métodos adicionales.

¿Qué permitía hacer la falla? Antes del parche, un servidor de PHP que colapsaba por falta de memoria podía dejar datos sueltos dando vueltas. Con las técnicas que detectó la IA, esos restos se podían usar para robar contraseñas, filtrar bases de datos enteras o tomar el control de un sitio. Una de las vías explotaba una diferencia entre cómo PHP mide un archivo comprimido y uno ya abierto; otra, saturaba de archivos anidados los directorios del sistema hasta forzar el mismo colapso.

La corrección ya está publicada, pero eso no cierra el tema. Adam Meyers, de la empresa de ciberseguridad CrowdStrike, le dijo a CNN que todavía circulan versiones viejas de PHP que el parche no termina de proteger, y que reemplazar el lenguaje en una aplicación ya construida no es una opción simple: hay que reconstruirla de cero. Cloudflare, además, detectó que la información sobre la falla se filtró antes del anuncio oficial, lo que disparó miles de intentos de ataque en las horas previas.

Lo que más inquieta a los especialistas no es la falla en sí, sino el método con el que se encontró. Vyas Sekar, profesor de la Universidad Carnegie Mellon, le dijo a CNN que el episodio puede marcar un cambio de época: "El sector de la ciberseguridad lleva mucho tiempo alertando sobre un inminente apocalipsis de seguridad, porque la IA es capaz de realizar estas tareas con una rapidez asombrosa, mejor que los humanos. Podría ser la primera de muchas. Es una llamada de atención", sostuvo. Según Sekar, hay muchas otras fallas tan graves como esta esperando a que alguien —o algo— las encuentre.

Lo llamativo es que no se usó ningún sistema reservado para laboratorios. Ryan Austin, investigador de Calif, precisó que la IA que resolvió el problema estaba disponible para cualquier usuario común, lo que deja sin efecto una de las protecciones en las que más se confiaba hasta ahora: que atacar a mano, probando una por una las combinaciones, demandaba demasiado tiempo y esfuerzo humano como para que valiera la pena.

El riesgo real, según Meyers, no está tanto en el parche en sí sino en cuánto tarda en llegar a todos lados: mientras sigan funcionando versiones viejas de PHP, y migrar a otro lenguaje exige reconstruir la aplicación entera, la falla seguirá abierta en algún rincón de internet aunque ya exista la solución. La noticia la publicó originalmente Infobae.

Esta falla, de hecho, se conoció apenas tres días después de que se difundieran otras dos vulnerabilidades críticas de PHP que permitían tomar el control de un sitio sin necesidad de contraseña, y en la misma semana en que trascendió que un software espía logró copiar fotos, notas y contraseñas de un iPhone infectado: dos recordatorios de que la seguridad de lo que usamos todos los días rara vez está tan resuelta como parece.