Desde hace 22 años se conocía la mayor amenaza a la seguridad de Internet. La IA la convirtió en una crisis en 2 días
Análisis por David Goldman, CNN
En julio de 2004, el investigador de seguridad Stefan Esser lanzó una advertencia.
Una vulnerabilidad crítica en PHP, el lenguaje de programación que sustenta el 70% de los sitios web del mundo, podría permitir a un atacante llevar a cabo acciones sumamente maliciosas: leer contraseñas, robar bases de datos o incluso tomar el control total de sitios web.
Sin embargo, la advertencia de Esser pasó prácticamente desapercibida durante décadas. En 2020, otro investigador descubrió un problema relacionado, ante lo cual los responsables de PHP implementaron una solución parcial. En 2024 se detectó una vulnerabilidad similar en PHP, pero quedó sin corregir.
¿Por qué una de las amenazas más graves para los cimientos de internet permaneció sin resolver durante 22 años?
Porque, para un ser humano, aprovecharla habría requerido un esfuerzo extenuante: una labor de programación tediosa, monótona y que consume muchísimo tiempo. Esto hacía que explotar dicha vulnerabilidad en PHP resultara inviable.
La inteligencia artificial ha logrado descifrar cómo hacerlo en solo dos días.
El miércoles, OpenAI reveló públicamente la existencia de este exploit, al tiempo que se lanzaba una actualización de seguridad destinada a solucionar el problema.
“Menos mal”, podría pensar uno. “Los ‘buenos’ llegaron primero”. No obstante, este descubrimiento asistido por IA ha generado una profunda preocupación entre los expertos en ciberseguridad, ya que la próxima vez podría ser obra de alguien con intenciones maliciosas.
Y a la IA no le importa quién apriete el gatillo.
Internet se mantiene atado con poco más que alambre.
Una acertada viñeta de xkcd representa “toda la infraestructura digital moderna” como una gigantesca torre de Jenga, sostenida por un único y delgado bloque vertical con la etiqueta: “un proyecto que alguien, en algún lugar de Nebraska, lleva manteniendo desde 2003 sin recibir ningún agradecimiento”.
El 30 de julio, investigadores de la empresa de seguridad centrada en IA Calif —en colaboración con la nueva iniciativa de seguridad Patch the Planet de OpenAI—, decidieron aplicar un modelo de lenguaje de IA a uno de esos bloques de Jenga: PHP. No esperaban encontrar nada crítico.
El 1 de agosto, dieron con un método para atacar las vulnerabilidades de PHP. Días después, encontraron otro. Y luego otro más. Más adelante ese mismo mes, la empresa de seguridad Wiz —respaldada por Google y también participante de Patch the Planet— descubrió nuevos exploits para vulnerabilidades en PHP.
El parche se publicó el miércoles, y las empresas dieron a conocer sus hallazgos públicamente. Wiz calificó el problema como una de las vulnerabilidades más graves en la historia del software.
La comunidad de seguridad inundó las redes sociales con comentarios del tipo “ya lo advertimos”.
“El sector de la ciberseguridad lleva mucho tiempo alertando sobre un inminente apocalipsis de seguridad, ya que la IA es capaz de realizar estas tareas con una rapidez asombrosa, mejor que los humanos”, señaló Vyas Sekar, profesor de ingeniería informática en la Universidad Carnegie Mellon. “Podría ser la primera de muchas. Es una llamada de atención”.
Según Sekar, existen muchas más vulnerabilidades similares a las de PHP esperando a ser descubiertas y explotadas. Muchísimas más. Algunas ya se conocen, pero muchas otras permanecen ocultas.
La amplia disponibilidad de herramientas de IA ha reducido considerablemente la barrera de entrada para que los hackers aprovechen posibles vulnerabilidades de seguridad. Este hecho alarmó tanto a Anthropic que, en junio, la empresa decidió suspender el despliegue de su modelo Mythos, que era tan eficaz a la hora de exponer vulnerabilidades y hallar vectores de ataque que el gobierno de Estados Unidos llegó a clasificarlo como una amenaza para la seguridad nacional.
No obstante, Ryan Austin, investigador de Calif, aclaró en una entrada de blog que no utilizaron ningún modelo de IA especial que no estuviera ya al alcance del público general. Esta democratización de las herramientas de IA ha dejado claro que la “seguridad por agotamiento” ya no es una medida de protección eficaz frente a los atacantes, señaló Nick Rogers, director ejecutivo de Fieldwork AI.
Durante 22 años, PHP fue como un banco sin guardias de seguridad. Cualquiera podía acercarse a la bóveda y llevarse el dinero, siempre y cuando tuviera tiempo suficiente para probar todas las combinaciones posibles. Era una tarea tan ardua que, en la práctica, no valía la pena el esfuerzo.
Pero la IA no se cansa. Y, además, es capaz de abrir cajas fuertes mucho más rápido que los seres humanos.
“Tomar una vulnerabilidad teórica y demostrar que es posible explotarla es un trabajo bastante tedioso y mecánico”, explicó Rogers. “La IA puede seguir intentándolo incansablemente hasta dar con la solución. Ni siquiera hace falta que intervengas, puedes tomarte un café mientras ella hace el trabajo”.
En esencia, PHP es un motor que impulsa gran parte de internet. Hasta que fue corregido el miércoles, presentaba un fallo crítico.
Una vulnerabilidad permitía que un atacante manipulara la forma en que PHP procesa las solicitudes para ejecutar sitios web. Si un servidor fallaba por falta de memoria, quedaban datos residuales que podían ser aprovechados para filtrar información o ejecutar código malicioso.
Imagina este ataque como aprovecharse de la situación en la cocina de un restaurante muy concurrido: los clientes saturan al chef con tantos pedidos complejos que este abandona su puesto a mitad del servicio, dejando sartenes sucias, ingredientes crudos y recetas esparcidas por la encimera. Luego, cuando llega un nuevo chef, este sirve comida contaminada en platos sucios, e incluso entrega recetas a los clientes junto con sus pedidos.
Aunque se sabía desde hace tiempo que la vulnerabilidad era teóricamente explotable, lograr llevar a cabo el ataque resultaba extremadamente difícil. Los atacantes debían forzar al servidor a colapsar por falta de memoria en un momento preciso para eludir los límites de seguridad de PHP.
Cuando los investigadores utilizaron inteligencia artificial para analizar el problema, esta encontró rápidamente varias formas de sortear dichas restricciones. Una de ellas aprovecha una discrepancia en la manera en que PHP mide los archivos comprimidos frente a los archivos ya descomprimidos: el sistema permitía el acceso a archivos comprimidos que, al descomprimirse, tomaban el control desde el interior.
Otra variante ataca a PHP mediante estructuras de archivos profundamente anidadas que saturan la estructura de directorios del sistema, provocando el fallo de memoria.
Aunque la vulnerabilidad ha sido corregida, es posible que la amenaza persista, señala Adam Meyers, vicepresidente de inteligencia contra adversarios en la empresa de seguridad CrowdStrike. Todavía existen muchas versiones obsoletas de PHP en uso, y es casi seguro que el parche no ha resuelto todos los problemas de este lenguaje.
Además, según la empresa de seguridad Cloudflare, se produjo una filtración de información sobre la vulnerabilidad antes de que se publicara el parche, lo que dio lugar a miles de intentos de ataque en las horas previas al anuncio oficial.
“Los atacantes no necesitan descubrir la vulnerabilidad por sí mismos; pueden convertirla en un arma una vez que se ha hecho pública”, afirma Meyers. “Aún estamos a la espera de ver hasta qué punto esto se manifiesta en situaciones reales”.
En su informe sobre el parche para PHP, OpenAI ofreció varias sugerencias que, en esencia, se resumen en lo siguiente: escribir un código mejor y más seguro desde el principio.
Esto no resulta de gran ayuda si su aplicación web ya ha sido desarrollada utilizando PHP.
“Abandonar PHP mediante una migración es un proceso bastante costoso”, señaló Meyers. “No es como cambiar de Microsoft Mail a Google Mail, implica reconstruir toda la aplicación”.
Si la solución no consiste en migrar el 70% de la web a un nuevo lenguaje de programación, entonces resolver sus problemas subyacentes —así como el resto de los problemas de software existentes— tampoco será una tarea sencilla.
Lo que se necesita, por tanto, podría ser un cambio de paradigma en la forma en que opera la comunidad de seguridad: asumir, en la práctica, que todo conlleva un riesgo de seguridad.
Las empresas deben abordar cada una de sus operaciones comerciales tal como los controladores de tráfico aéreo vigilan su entorno, afirma Madhu Shashanka, cofundador de la empresa de seguridad Concentric AI.
“Todo constituye una vulnerabilidad potencial”, sostiene Shashanka. “Cada operación empresarial implica un riesgo elevado”.
Por ejemplo, las empresas que dejan cierto software sin actualizar —aunque sea solo durante unos días— se exponen a vulnerabilidades que, para los actores malintencionados, ya no resultan ni difíciles ni costosas de explotar.
“Existen muchas vulnerabilidades que nunca llegan a ser explotadas porque requieren un esfuerzo”, explica Shashanka. “La inteligencia artificial ha hecho que ese esfuerzo sea irrelevante”.
The-CNN-Wire
™ & © 2026 Cable News Network, Inc., a Warner Bros. Discovery Company. All rights reserved.
