Un fallo de PHP que todos habían descartado como inofensivo resultó ser una vía para tomar el control total de un servidor, y a un investigador con herramientas de IA le bastaron menos de dos semanas para demostrarlo. El relato de IEEE Spectrum sobre PHP2Shell merece atención porque el patrón que describe, viejos fallos etiquetados como 'solo un cuelgue' que se vuelven graves cuando la IA hace el razonamiento difícil, va mucho más allá de un solo lenguaje. PHP sigue moviendo buena parte de la web, así que los sitios en riesgo no eran precisamente oscuros.
El fallo en sí es un error de falta de memoria, en el que un dato recibe menos espacio del que necesita. Por sí solo eso suele limitarse a colgar el programa, por lo que se comunicó a la PHP Foundation en 2024 y quedó sin corregir. A principios de 2026, la empresa de seguridad Calif se ofreció a auditar PHP, con OpenAI pagando el trabajo. En menos de dos semanas, un investigador de Calif usó herramientas de IA para convertir el cuelgue en ejecución de código arbitrario: la capacidad de ejecutar cualquier código en el equipo. Wiz y OpenAI confirmaron después los fallos y encontraron más. La corrección ocupó a cuatro ingenieros durante dos meses, y el problema se hizo público a finales de octubre de 2026, con la publicación de seguridad de la Foundation fechada el 21 de octubre. Por lo que se sabe, no hubo ataques antes de que llegara el parche.
El detalle técnico de los expertos es el que permanece. Suman Jana, de Columbia, describe la tarea de explotar un fallo así como encontrar exactamente a qué posición de memoria saltar y qué bits sobrescribir, y en qué orden: no es ciencia espacial, dice, sino un razonamiento concreto y penoso que la IA ahora hace bien. Tiene cuidado en añadir que la IA no puede hacerlo sola, y que sobre todo acelera a los buenos expertos mientras eleva a quienes están justo por debajo hasta un trabajo parecido.
Esto encaja con lo que hemos visto en otros lugares. OpenAI ha ejecutado procesos parecidos contra el kernel de Linux, y en nuestra reseña de GPT-6 Cyber recogemos las afirmaciones del mismo proveedor sobre encontrar y explotar fallos a gran escala. El hilo común es que descubrir y armar exploits sale cada vez más barato mientras el trabajo humano de parchear no.
Esa asimetría es la pega. Jana señala que encontrar fallos y corregirlos no son tareas simétricas, y que la brecha golpea más a los proyectos de código abierto sin financiación. Confía en las herramientas de verificación formal, como la publicación de Anthropic del 22 de octubre, en la que una IA escribe un parche y una prueba comprobable de que funciona. Matthew Green, de Johns Hopkins, es menos optimista y espera financiación real solo tras un desastre público, que PHP2Shell no fue. Su consejo práctico, y la única defensa que hoy tienen la mayoría de los propietarios de sitios, es instalar las actualizaciones de seguridad cuanto antes.