¿Por qué una inteligencia artificial encontró el fallo que amenaza el 70% de internet?

Durante unas horas, consultar la cuenta del banco, comprar un billete o hacer un trámite online se convirtió en misión imposible en medio mundo. No fue un ciberataque exitoso: fue el apagón preventivo más grande que se recuerda. Bancos, aerolíneas y gobiernos desconectaron sus webs a toda velocidad después de que se hicieran públicas dos vulnerabilidades críticas en PHP, el lenguaje de programación sobre el que se sostiene casi el 70% de internet.

Lo más llamativo no es el fallo en sí, sino quién lo encontró: una inteligencia artificial. Y lo segundo más llamativo, cuánto tardó el mundo en reaccionar: apenas unas horas entre la publicación del descubrimiento y los millones de intentos de explotación.

Qué es PHP2Shell y por qué es tan grave

PHP es el lenguaje con el que están construidas millones de páginas: Wikipedia, todo el ecosistema WordPress y buena parte del armazón sobre el que se levantó Facebook en sus inicios. Cuando un servidor web procesa un formulario, una subida de archivos o una sesión de usuario, muy probablemente hay PHP por medio.

Las dos brechas, registradas como CVE-2026-109618 (ejecución remota de código por corrupción de memoria durante un agotamiento de memoria) y CVE-2026-109619 (ejecución remota por uso de estado global obsoleto tras un error fatal), comparten un patrón: un atacante remoto puede ejecutar instrucciones en el servidor sin necesidad de identificarse con ninguna contraseña. Ambas tienen una puntuación CVSS v4.0 de 9,2 sobre 10, el rango crítico.

Según la información facilitada por las firmas de ciberseguridad Wiz y Calif, que las identificaron apoyándose en modelos de inteligencia artificial desarrollados por OpenAI, los fallos llevaban más de una década escondidos en el código, invisibles a las técnicas convencionales de auditoría. Wiz los bautizó como PHP2Shell y los describió como «las vulnerabilidades más graves jamás descubiertas» con esta tecnología.

La cronología de un ataque masivo: de miles a millones en una noche

La escala de la respuesta de los atacantes quedó documentada casi en tiempo real por Cloudflare, que vigila una parte enorme del tráfico mundial. Su consejero delegado, Matthew Prince, fue narrando la escalada en X:

1. 1Antes del anuncio: miles de intentos de explotación en las 10 horas previas a hacerse públicos los detalles — ya había atacantes que conocían el fallo.
2. 2Minuto 45 tras el anuncio: la cifra saltó a decenas de miles de intentos.
3. 3Dos horas después: cientos de miles.
4. 4Madrugada del jueves: millones de intentos de ataque registrados en la red de Cloudflare.

La PHP Foundation publicó el parche urgente el 21 de octubre, con correcciones para las ramas mantenidas y versiones retrocompatibles incluso para las antiguas 7.4, 8.0 y 8.1. Las versiones corregidas de las ramas activas son:

Fuente: PHP Foundation y alerta INCIBE-2026-762 · 21 de octubre de 2026

Qué webs se apagaron y cómo afectó a España

La lista de desconexiones preventivas parece el who’s who de internet: en Japón suspendieron servicios la correduría Nomura, el gigante financiero Mitsubishi UFJ, la aerolínea ANA y East Japan Railway; en Finlandia, el operador público Valtori llegó a cortar portales institucionales advirtiendo de que restablecerlos «puede llevar días o incluso semanas»; el Parlamento de los Países Bajos, la BBC y DeviantArt también echaron el cierre temporal. La NSA y el FBI instaron a actualizar o aislar sistemas, y en Japón la primera ministra Sanae Takaichi ordenó una revisión urgente de la infraestructura del país.

En España, según Check Point Research, el 12% de las administraciones y empresas fue blanco de intentos de ataque, un porcentaje menor que en los países que optaron por la desconexión masiva. Fuentes del Ministerio de Transformación Digital aseguraron que no constaba ningún problema en webs de ministerios, agencias e instituciones estatales, y que la alerta se vivió «como una actualización más de sus sistemas informáticos».

¿Cómo funcionan por dentro los fallos? El INCIBE los describe con detalle técnico: en el primero (CVE-2026-109618), cuando una petición agota la memoria del servidor mientras los datos de una subida de archivos —el formato multipart de la RFC 1867, el de los formularios web— aún no están inicializados por completo, PHP interrumpe el procesamiento pero durante el cierre de la petición puede utilizar ese estado inválido y provocar corrupción de memoria. En el segundo (CVE-2026-109619), parte del estado interno de una petición puede quedarse vivo en el proceso trabajador después de liberarse su memoria: si otra petición llega al mismo trabajador antes de que PHP lo reinicialice, se produce un «uso después de liberar» que abre la puerta a la ejecución remota de código.

El riesgo es mayor en las instalaciones que procesan solicitudes web —Apache mod_php, PHP-FPM, php-cgi, FrankenPHP o LiteSpeed—, con Apache mod_php en el puesto más crítico. De ahí la instrucción de la NSA y del INCIBE: actualizar de inmediato y, si no es posible, aislar el sistema de las redes públicas hasta poder parchearlo. Medidas temporales como las reglas de filtrado reducen la exposición a rutas concretas, pero no sustituyen a la actualización.

La IA, protagonista doble de esta historia

El detalle que convierte este episodio en un antes y un después: las brechas las encontró una IA analizando código fuente. Lo que durante más de diez años se resistió a auditores humanos, un modelo de lenguaje lo destapó en cuestión de análisis. Y la misma herramienta juega ahora en los dos bandos.

«Los detalles de estos fallos se hicieron públicos antes de que las correcciones estuvieran listas, y desde entonces se han notificado ataques. Las empresas están corriendo para actualizar sus sistemas frente a atacantes que pueden usar la IA para explotarlos» — Madeline Lawrence, cofundadora de Aikido Security

Porque los atacantes también tienen acceso a modelos capaces de escribir exploits a escala industrial. La ventaja defensiva de descubrir los fallos antes se mide ahora en horas, no en años, y la carrera entre parches y ataques automatizados se ha vuelto simétrica: IA contra IA, con los administradores de sistemas en medio.

La próxima vez que una web institucional aparezca «fuera de servicio» puede que no haya pasado nada grave: quizá solo estén parcheando a toda velocidad el suelo común sobre el que todos caminamos. Internet no se cayó por PHP2Shell, pero estuvo a un parche de distancia de hacerlo. Y esa, más que los millones de intentos de ataque, es la lección incómoda de esta semana: la red global descansa sobre capas de código antiguo que nadie revisaba… hasta que una máquina empezó a leerlas.