Un investigador de una firma de investigación en seguridad utilizó un modelo avanzado de IA de OpenAI para detectar una vulnerabilidad en el núcleo de PHP, según informó primero Fortune. La vulnerabilidad puede permitir que los atacantes ejecuten comandos no autorizados en servidores que alojan sitios web con PHP, lo que podría exponer datos y darles el control total de los sitios afectados.
PHP se ejecuta en servidores web, donde los scripts procesan las entradas de los usuarios y generan el contenido que muestra el navegador. Según las estimaciones, alrededor del 70% de los sitios web usan este lenguaje, por lo que la vulnerabilidad puede afectar a más sitios que aquellos que tienen código personalizado.
La vulnerabilidad se encuentra en el núcleo de PHP y sus bibliotecas, no en el código de sitios web individuales. El exploit PHP2Shell da a los atacantes acceso a la shell —es decir, control directo de la línea de comandos del equipo que aloja un sitio—, desde donde pueden acceder a datos y tomar el control.
La vulnerabilidad afecta a la infraestructura compartida de PHP, pero la exposición depende de si se han instalado los parches en cada servidor afectado.
La vulnerabilidad llevaba más de una década en el código central de PHP. Un investigador de una firma de investigación en seguridad la detectó en agosto de 2026 con ayuda del modelo de IA y avisó a la organización sin ánimo de lucro que gestiona PHP.
El hallazgo se produjo mediante una divulgación coordinada, un proceso en el que los investigadores informan de las vulnerabilidades a los desarrolladores antes de hacerlas públicas. Los detalles se filtraron antes de que la organización de PHP publicara los parches, y responsables de Amazon Web Services afirmaron que los hackers ya habían empezado a intentar explotar la vulnerabilidad de forma generalizada.
La vulnerabilidad provocó advertencias urgentes de la Agencia de Seguridad Nacional de EE. UU., organismos de ciberseguridad y proveedores de software. Gobiernos y organizaciones de todo el mundo empezaron a apresurarse para solucionarla el 21 de octubre de 2026.
La IA puede ayudar a los equipos de seguridad a detectar vulnerabilidades y preparar parches, pero los atacantes pueden usar las mismas capacidades para buscar objetivos vulnerables y automatizar herramientas de explotación.
Es poco probable que los usuarios habituales de Internet se vean afectados directamente y no necesitan actualizar sus ordenadores personales, ya que PHP se ejecuta en servidores web remotos. Las organizaciones que demoren la instalación de los parches podrían exponer datos confidenciales, interrumpir sus operaciones o dar a los atacantes un punto de apoyo en redes más amplias.
Los administradores de sitios web o servidores deberían revisar su panel de administración o consultar con su proveedor de alojamiento para asegurarse de que PHP esté actualizado a la versión más reciente con los parches. Los propietarios de sitios que usan servicios de alojamiento de terceros deberían preguntar al proveedor si ya ha aplicado los parches.