Los gobiernos y las empresas de todo el mundo cerraron sitios web el jueves mientras corrían para guarecerse de los ataques posteriormente de que la inteligencia químico descubriera fallas críticas en un idioma de programación ampliamente utilizado llamado PHP.
PHP ayuda a ejecutar cerca de del 70 por ciento de los sitios web del mundo, desde tiendas en renglón y medios de comunicación hasta servicios gubernamentales, según Wiz Research, una de las empresas de ciberseguridad que encontró las dos fallas.
Creado a principios de la término de 1990, PHP originalmente significaba “página de inicio personal”, pero ahora significa “preprocesador de hipertexto” y se encuentra debajo de plataformas populares de diseño web.
“Estos hallazgos se encuentran entre las vulnerabilidades más graves descubiertas en PHP, y posiblemente en la historia del software”, decía una publicación del blog de Wiz.
Modelos de IA cada vez más potentes pueden detectar puntos débiles en el código informático de fondo que han pasado desapercibidos para los humanos durante primaveras.
Esto ha aumentado los temores sobre la ciberseguridad, y el número de vulnerabilidades de software descubiertas en todo el mundo en 2026 va camino de aproximadamente duplicar el total récord del año pasado.
– ‘Suficiente devastador’ –
Los programadores de PHP publicaron una decisión el miércoles, y la Agencia de Seguridad Franquista de EE. UU. dijo a las organizaciones que parchearan sus sitios inmediatamente o desconectaran los sistemas vulnerables, un llamado del que se hicieron eco autoridades desde Japón hasta la Unión Europea.
Una plataforma afiliada al Profesión de Industria y Tecnología de la Información de China instó a lo mismo, advirtiendo sobre “dos vulnerabilidades críticas de ejecución remota de código con impacto severo” en PHP.
Amazon Threat Intelligence dijo: “Aún no está claro cómo el actor adquirió la información del exploit”.
Pero Ryan Austin, que ha trabajado en cuestiones de PHP para la empresa de ciberseguridad Calif, le dijo a la BBC: “por el momento, no parece que la explotación haya despegado o se haya generalizado”.
Sólo están expuestos los sitios que ejecutan PHP en sus propios servidores. Muchas plataformas grandes se basan en otros lenguajes de programación o utilizan operadores que pudieron instalar la decisión rápidamente y pudieron permanecer en renglón.
Rahat Masood, profesor titular de ciberseguridad en la Universidad de Nueva Gales del Sur, Sydney, describió el descubrimiento como “asaz devastador”.
Podría permitir que “los atacantes accedan a sus servidores sin autorización, sin nombre de adjudicatario ni contraseña”, explicó a la AFP.
“Una vez que están en los servidores, pueden hacer lo que quieran”, desde robar información confidencial hasta modificar el contenido del sitio web, añadió, instando a las instituciones a “tomarlo en serio”.
– ‘Nueva período’ –
Los sitios de agencias gubernamentales en países desde Australia hasta Finlandia, los Países Bajos y el Reino Unido estuvieron entre los que se cerraron. Los servicios de compañías de seguros, operadores de transporte y medios de comunicación estaban cortados por mantenimiento de emergencia.
Las aplicaciones populares, incluido un rastreador de sueño de Pokémon, incluso fueron desconectadas temporalmente mientras se implementaba la decisión, mientras que la fundación que administra Wikipedia advirtió a los usuarios que podrían ver interrupciones mientras solucionaba las fallas.
“Si ejecuta PHP, es imperativo que lo actualice ahora”, dijo en una publicación de blog la Fundación PHP, que financia a los desarrolladores que trabajan en el idioma.
Volker Dusch, ingeniero de seguridad de la fundación, dijo al Wall Street Journal que era el problema más bajo que PHP había enfrentado en más de una término, comparándolo con Heartbleed, una rotura de 2014 que desató una prisa mundial por parchear.
La empresa de seguridad Calif encontró las fallas en agosto utilizando el maniquí GPT-5.6 Sol de OpenAI, como parte de una auditoría del código PHP financiada por OpenAI.
OpenAI dijo que el descubrimiento “marca una nueva período en la que la IA puede encontrar errores de seguridad con impacto a escalera de Internet”.
Wiz, propiedad de Google, dijo que los encontró de forma independiente semanas posteriormente con la ayuda de modelos de inteligencia químico, incluidos Gemini 4 Argon y GPT-5.6 Sol de Google.
Las fallas se informaron de forma privada a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una decisión.
– La IA alimenta la emergencia –
Los detalles se filtraron en renglón el martes, un día ayer del propagación previsto de la decisión, lo que provocó la prisa por desconectar los sitios ayer de que los piratas informáticos pudieran explotarlos.
Steve Kerrison, profesor titular de ciberseguridad en el campus de la Universidad James Cook de Singapur, dijo a la AFP que el miedo a que los piratas informáticos utilicen la IA para explotar rápida y fácilmente las vulnerabilidades de PHP había impulsado la emergencia de reaccionar.
Hasta ahora ha habido poca evidencia de ataques dañinos, aunque las filtraciones de datos podrían conducir a una ola de los llamados ataques de “phishing”, en los que los piratas informáticos utilizan datos personales para robar contraseñas, en el futuro.
Las instituciones más grandes, desde agencias gubernamentales hasta medios de comunicación, deberían poder arreglar sus sitios web relativamente rápido, dijo Kerrison, pero otras pueden restar vulnerables.
“Hay sitios, sistemas y personas que no tendrán idea de esto y seguirán sin tenerla durante días, semanas y meses”, advirtió Kerrison.
Eso puede incluir blogs dirigidos por usuarios que podrían estilarse como armas para propagar virus informáticos, mandar spam a personas o distribuir contenido ladino, dijo.
arp-caf/jj/pdw
