La Agencia de Seguridad Nacional de EE.UU. envió una alarmante advertencia el miércoles de que se habían encontrado dos agujeros críticos en PHP, con parches ya publicados por la Fundación PHP.
PHP es un lenguaje de programación del lado del servidor tan utilizado para aplicaciones web que impulsa aproximadamente el 70% de los sitios web de Internet; Según algunas cuentas, son más de 33 millones de sitios. También lo utilizan sistemas de gestión de contenidos populares como WordPress.
La NSA advirtió que estos agujeros son tan graves que si un sitio web no puede repararse inmediatamente, debe retirarse de la red hasta que pueda hacerlo. Los agujeros permiten a los atacantes infiltrarse en el sistema de archivos del servidor o en una base de datos que puede ser utilizada por la aplicación web.
Curiosamente, estos agujeros se han ocultado en todas las versiones de PHP desde la versión 5, que se lanzó en 2004. Los sitios web que no ejecutan versiones relativamente actuales de PHP tendrán que actualizarse, ya que PHP 8.1 y versiones anteriores ya no son compatibles. La recomendación es actualizar el servidor web a la versión actual de PHP, que es 8.5.12.
Entonces, ¿cómo salieron a la luz de repente dos defectos tan omnipresentes y de décadas de antigüedad que afectan a casi todos los sitios web de Internet? IA, naturalmente, particularmente a través de OpenAI y Wiz de Google.
La empresa de pruebas de seguridad Calif participó en la iniciativa «Patch the Planet» de OpenAI para encontrar fallas en el software de código abierto. Utilizando GPT‑5.6 Sol, encontró una de las fallas, según reveló OpenAI en una publicación de blog. Por otra parte, el equipo de Wiz también utilizó IA, concretamente su agente de seguridad de IA Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol para encontrar múltiples vulnerabilidades en PHP.
Tanto OpenAI como Wiz siguieron prácticas responsables de investigación de seguridad y trabajaron con PHP en parches antes de revelar públicamente las fallas. Luego, todos trabajaron juntos para desarrollar lo que encontraron y probar los parches, atrayendo a muchos otros para que ayudaran.
Wiz agradeció a Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel. (Si bien los sitios de WordPress usan PHP, WordPress ha emitido una declaración diciendo que la falla no es específica de WordPress, y los sitios que ejecutan su CMS deben parchear sus servidores y trabajar con sus empresas de alojamiento web para garantizar que sus sitios estén protegidos).
OpenAI dice que estos fallos fueron encontrados por investigadores antes de que los piratas informáticos los descubrieran. Por lo tanto, no hubo informes de hazañas en la naturaleza. Esto también se debe en parte a que, antes de la IA, estos fallos eran demasiado difíciles de explotar para los piratas informáticos. «Con la IA esto ya no es una barrera. Los LLM pueden ayudar a adaptar un exploit a diferentes versiones, configuraciones y diseños de memoria de PHP», advirtió Wiz en su blog sobre las fallas.
En otras palabras, este es el tipo de problema de seguridad que se encontró y evitó gracias a la IA, pero que también representa un alto riesgo sólo gracias a la IA.
Ahora que se ha revelado el problema, los piratas informáticos lo saben perfectamente. Ha comenzado la carrera para que Internet parchee decenas de millones de sitios web antes de que los piratas informáticos puedan atacar los que no están parcheados. De ahí la guía de la NSA de que si no puede parchear su sitio web PHP de inmediato, es mejor que lo desconecte hasta que pueda hacerlo.
Cuando compra a través de enlaces en nuestros artículos, podemos ganar una pequeña comisión. Esto no afecta nuestra independencia editorial.