Durante veinte años, siete de cada diez páginas de Internet se sostuvieron sobre una grieta que nadie vio. La encontró una inteligencia artificial, no una persona, y estaba en PHP, un lenguaje de programación casi invisible que hace funcionar desde Wikipedia hasta el portal de cualquier alcaldía. El susto fue tan grande que la agencia de espionaje más poderosa del mundo pidió a todos cerrarla de inmediato o apagar sus máquinas.
Lo anterior nos arroja a una pregunta inevitable:
¿Cómo pudimos vivir dos décadas sobre una falla tan grande sin que nadie la viera, y qué dice de nosotros que la haya encontrado una máquina?
El albañil invisible que construyó medio Internet
Por: Gabriel E. Levy B.
Cada vez que abrimos una página web ocurre algo que nunca vemos. En algún lugar del mundo un computador recibe nuestra petición, arma la página y nos la envía. A esos computadores se les llama servidores, y el idioma en que muchos de ellos trabajan se llama PHP.
PHP nació a mediados de los años noventa como una herramienta sencilla, casi artesanal, para que cualquier persona pudiera hacer páginas que cambiaran con el tiempo. Con los años se convirtió en el albañil silencioso de la web.
Según la firma de medición W3Techs, cerca del 70 por ciento de los sitios de Internet funcionan con él. Eso incluye WordPress, el sistema con el que están hechos la mayoría de los blogs y medios pequeños del mundo, y también Wikipedia.
Y durante dos décadas, ese albañil construyó sobre una grieta.
Las fallas que hoy se conocen con el nombre de PHP2Shell están presentes en todas las versiones del lenguaje desde 2012, y según TechCrunch el código problemático existe desde 2004. Casi todo lo que hemos leído o comprado en Internet en veinte años pasó por encima de ella.
Lo que una máquina vio y nadie había visto
Para entender la falla no hace falta ser ingeniero. Imaginemos a una recepcionista que atiende visitantes en una oficina: cada vez que alguien se va, debería limpiar el escritorio y guardar sus papeles antes de recibir al siguiente.
PHP, en ciertas condiciones, cuando una visita termina mal porque el computador se queda sin memoria, no limpia bien el escritorio. Quedan papeles del visitante anterior, y un atacante paciente, haciéndose pasar por el siguiente visitante, puede leerlos, encontrar contraseñas y llaves, y en el peor de los casos sentarse en el puesto de la recepcionista y mandar en toda la oficina.
Eso fue lo que lograron demostrar en agosto los investigadores de la firma Calif, trabajando con los modelos de OpenAI, la empresa de ChatGPT, y pocos días después el equipo de Wiz, una compañía de seguridad que pertenece a Google, con la ayuda de Gemini y de esos mismos modelos.
La grieta no estaba escondida, estaba demasiado alta.
En 2024 un equipo de la firma Quarkslab ya había tropezado con el mismo error y lo dejó pasar, porque aprovecharlo parecía tan difícil que no valía la pena preocuparse.
Wiz lo cuenta con una franqueza que impresiona: convertir ese error en un ataque real exigía encadenar varios fallos y adaptarse a cada máquina, un trabajo que a un equipo de expertos le habría tomado meses, y que una sola persona ayudada por inteligencia artificial completó en una semana.
Personalmente considero que ahí está la noticia que de verdad importa. La máquina no inventó la grieta. Lo que aportó fue la paciencia infinita que a los humanos nos falta para mirar lo que lleva veinte años a la vista de todos.
El día en que los espías pidieron apagar la luz
El 21 de octubre, el mismo día en que la fundación que cuida PHP publicó la corrección, la Agencia de Seguridad Nacional de Estados Unidos, la NSA, la misma de los escándalos de espionaje, publicó un aviso tan inusual que mucha gente pensó que era falso.
Pedía a toda organización del mundo que usara PHP instalar la corrección de inmediato, y agregaba una frase que casi nunca sale de una agencia de inteligencia: si no pueden corregirlo ahora mismo, apaguen sus sistemas hasta que puedan.
En el oficio, a esa corrección se le llama parche, como el remiendo que se le pone a un pantalón roto, y en este caso había que ponerlo en decenas de millones de máquinas al mismo tiempo.
Y el mundo obedeció.
Según Al Jazeera y Reuters, los gobiernos de Bélgica, Países Bajos, Finlandia y República Checa desconectaron portales públicos durante horas para poder remendarlos. Hubo ciudadanos que ese miércoles no pudieron hacer un trámite ni consultar una noticia oficial, sin que nadie les explicara por qué.
La prisa tenía sentido. Alguien filtró en Internet las instrucciones para aprovechar la falla antes de tiempo, la corrección tuvo que adelantarse un día, y según el boletín Resilient Cyber en menos de dos días se contaron millones de intentos de ataque contra máquinas que todavía no se habían actualizado.
La sospecha de la puerta trasera
Como suele pasar cuando una agencia de espionaje aparece de pronto pidiendo que todos cierren una ventana, en foros y redes surgió una lectura más oscura.
Según esa versión, la grieta nunca fue un accidente: era una puerta trasera, es decir, una entrada secreta dejada a propósito por alguna agencia de seguridad, quizás la misma NSA, para entrar a cualquier sitio del mundo cuando quisiera, y al verse descubierta por una inteligencia artificial habría preferido fingir sorpresa y ponerse del lado de los buenos.
La desconfianza no nace de la nada. En 2013 los documentos filtrados por Edward Snowden mostraron que la NSA había debilitado a propósito un sistema de cifrado, el candado matemático que protege las comunicaciones, y ese recuerdo todavía pesa.
Sin embargo, los hechos cuentan otra historia.
Como señala un análisis de Hackernoon, no existe una sola prueba de que alguien haya sembrado esta falla, y la conducta de todos los involucrados apunta en sentido contrario: varias empresas privadas no suelen descubrir al mismo tiempo una entrada secreta, y mucho menos la anuncia a gritos quien la habría sembrado.
Probablemente nunca sabremos a ciencia cierta si alguien conocía la grieta antes que las máquinas, porque en el mundo del espionaje lo que se sabe no se dice y lo que se niega no se puede comprobar. Lo que sí podemos decir es que la explicación más sencilla, un error humano de hace veinte años que nadie tuvo tiempo de mirar, explica todo lo ocurrido sin necesidad de un villano.
Lo que nos toca a nosotros
En América Latina este asunto es menos lejano de lo que parece. Una parte enorme de los sitios de alcaldías, universidades, medios pequeños y negocios familiares está hecha con WordPress, alojada en computadores compartidos y con versiones del lenguaje que dejaron de recibir cuidado hace años.
Para una empresa grande, remendar la grieta fue cuestión de horas. Para un municipio que paga un alojamiento barato y no tiene a nadie que lea alertas en inglés, la grieta sigue abierta y seguirá abierta hasta que alguien se acuerde de ella.
La paciencia ya no es una ventaja humana.
La fundación que cuida PHP reconoce que desde julio la inteligencia artificial le ha ayudado a encontrar quince fallas nuevas, y OpenAI habla ya de una ventana del defensor: el poco tiempo que pasa entre el momento en que una máquina descubre un error y el momento en que otras máquinas lo aprovechan.
Finalmente, creo que hay una lección humilde en todo esto. Durante veinte años confiamos en que, si algo tan grave existiera, alguien lo habría visto. Nadie lo vio, porque mirar con paciencia lo viejo y lo aburrido es justo lo que a los humanos peor se nos da y lo que a las máquinas mejor se les da. A partir de ahora, la única defensa real es dejar de suponer que el silencio significa seguridad.
En resumen, una inteligencia artificial encontró en PHP, el lenguaje invisible que sostiene siete de cada diez páginas de Internet, una grieta que llevaba veinte años abierta, y el susto fue tal que la NSA pidió al mundo remendarla o apagar sus máquinas. La teoría de una puerta trasera de espías no tiene pruebas, pero la lección queda: durante dos décadas dormimos sobre una falla que nadie miró, y en nuestra región muchos todavía siguen durmiendo sobre ella.
Referencias
- Tzadik, S., Tamari, S., Ohfeld, N. y Schwartz, T. (2026, 21 de octubre). PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. Wiz Blog. https://www.wiz.io/blog/php2shell-php-rce
- Bort, J. (2026, 21 de octubre). PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet. TechCrunch. https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet/
- Farooq, U. y Reuters. (2026, 22 de octubre). World leaders warn of security flaws found in PHP programming language. Al Jazeera. https://www.aljazeera.com/news/2026/10/22/world-leaders-warn-against-security-flaw-found-in-php-computer-programming
- The Hill. (2026, 22 de octubre). NSA warns organizations to patch security flaws identified by AI. https://thehill.com/policy/technology/6163568-nsa-warns-php-security-flaws/
- CNBC. (2026, 22 de octubre). Why governments pulled websites offline over the decades-old PHP programming language. https://www.cnbc.com/2026/10/22/php2shell-vulnerability-what-is-it-and-is-your-data-at-risk.html
- The Hacker News. (2026, 25 de octubre). Someone tried to exploit PHP2Shell 4 days before the vulnerabilities were publicly disclosed. https://thehackernews.com/2026/10/someone-tried-to-exploit-php2shell-4.html
- Hackernoon. (2026, 22 de octubre). NSA says patch PHP or go offline as AI-found PHP2Shell flaws reach ~70% of the web. https://hackernoon.com/nsa-says-patch-or-go-offline-as-ai-found-php2shell-flaws-reach-70percent-of-the-web
- Resilient Cyber. (2026, 23 de octubre). The Resilient Brief: PHP2Shell goes from leak to millions of attempts in under two days. https://www.resilientcyber.io/p/the-resilient-brief-php2shell-goes-from-leak-to-millions
- The PHP Foundation. (2026, 21 de octubre). Today’s PHP security release and how we’re strengthening PHP security. https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
- OpenAI. (2026, 21 de octubre). Coordinated disclosure of critical vulnerabilities. https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
