La Agencia de Seguridad Nacional de EE. UU. envió una advertencia alarmante el miércoles de que se habían encontrado dos vulnerabilidades críticas en PHP, con parches ya emitidos por la PHP Foundation.
PHP es un lenguaje de programación del lado del servidor tan ampliamente utilizado para aplicaciones web que impulsa aproximadamente el 70% de los sitios web de internet; según algunas cuentas, eso equivale a más de 33 millones de sitios. También es utilizado por sistemas de gestión de contenido populares como WordPress.
La NSA advirtió que estos agujeros son tan graves que si un sitio web no puede ser parcheado de inmediato, debe ser retirado de la web hasta que sea posible. Los agujeros permiten a los atacantes infiltrarse en el sistema de archivos del servidor o en una base de datos que pueda ser utilizada por la aplicación web.
Curiosamente, estos agujeros han estado ocultos en todas las versiones de PHP desde la versión 5, que fue lanzada en 2004. Los sitios web que no ejecutan versiones relativamente actuales de PHP tendrán trabajo de actualización por delante, ya que PHP 8.1 y versiones anteriores ya no reciben soporte. La recomendación es actualizar el servidor web a la versión actual de PHP, que es 8.5.12.
Entonces, ¿cómo salieron a la luz de repente dos fallas tan omnipresentes y con décadas de antigüedad que afectan a casi todos los sitios web de internet? Por la IA, naturalmente, en particular a través de OpenAI y Wiz de Google.
La empresa de pruebas de seguridad Calif participaba en la iniciativa "Patch the Planet" de OpenAI para encontrar fallas en software de código abierto. Utilizando GPT‑5.6 Sol, encontró una de las fallas, según reveló OpenAI en una publicación de blog. Por separado, el equipo de Wiz también utilizó IA, a saber, su agente de seguridad con IA Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol para encontrar múltiples vulnerabilidades en PHP.
Tanto OpenAI como Wiz siguieron prácticas responsables de investigación de seguridad y trabajaron con PHP en los parches antes de revelar públicamente las fallas. Luego, todos trabajaron juntos para detallar lo que encontraron y probar los parches, incorporando a una gran cantidad de otros para ayudar.
Wiz agradeció a Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel. (Si bien los sitios de WordPress utilizan PHP, WordPress ha emitido un comunicado diciendo que la falla no es específica de WordPress, y los sitios que ejecutan su CMS deben parchear sus servidores y trabajar con sus empresas de alojamiento web para garantizar que sus sitios estén protegidos.)
OpenAI dice que estas fallas fueron encontradas por investigadores antes de que los hackers las descubrieran. Así que no hubo informes de explotación en la naturaleza. Esto se debe en parte a que, antes de la IA, estas fallas eran demasiado difíciles de explotar para los hackers. "Con la IA esto ya no es una barrera. Los LLM pueden ayudar a adaptar un exploit a diferentes versiones de PHP, configuraciones y diseños de memoria", advirtió Wiz en su blog sobre las fallas.
En otras palabras, este es el tipo de problema de seguridad que fue encontrado y prevenido gracias a la IA, pero que también representa un alto riesgo únicamente debido a la IA.
Ahora que el problema ha sido revelado, los hackers están completamente al tanto. Comenzó la carrera para parchear decenas de millones de sitios web antes de que los hackers puedan atacar los que no tienen parches. De ahí la orientación de la NSA de que si no puede parchear su sitio web PHP de inmediato, es mejor retirarlo de línea hasta que pueda.