Una inteligencia artificial encontró en dos días cómo explotar una falla de PHP abierta durante 22 años

OpenAI reveló hace pocos días que una inteligencia artificial (IA) identificó en PHP métodos para explotar una vulnerabilidad crítica que permaneció sin resolución durante 22 años porque su aprovechamiento exigía un trabajo humano lento y repetitivo.

El fallo, corregido con una actualización de seguridad, podría permitir el robo de contraseñas y bases de datos, la filtración de información o la toma de control de sitios web construidos con un lenguaje que sostiene cerca del 70% de internet.

La advertencia inicial había sido formulada en julio de 2004 por el investigador de seguridad Stefan Esser. En 2020 se detectó un problema relacionado y los responsables de PHP aplicaron una solución parcial; en 2024 apareció una falla similar que no fue corregida.

La dificultad no estaba en conocer la existencia del riesgo, sino en convertirlo en un ataque funcional. Para lograrlo, un atacante debía provocar que un servidor se quedara sin memoria en un punto preciso, una tarea que requería probar varias combinaciones hasta sortear las restricciones de seguridad del sistema.

El 30 de julio de 2026, investigadores de la firma de seguridad centrada en inteligencia artificial Calif aplicaron un modelo de lenguaje a PHP junto con Patch the Planet, una iniciativa de seguridad de OpenAI. No esperaban encontrar una falla crítica, pero el 1 de agosto identificaron un método de ataque y, durante los días posteriores, hallaron otros.

De qué manera opera este método de ataque en la infraestructura web

PHP procesa solicitudes para ejecutar sitios web y, hasta la publicación del parche, podía dejar datos residuales cuando un servidor colapsaba por falta de memoria. Esos restos podrían utilizarse para filtrar información o ejecutar código malicioso en el sistema afectado.

Una de las técnicas encontradas explota una diferencia entre la forma en que PHP mide los archivos comprimidos y los que ya fueron descomprimidos. El sistema permitía acceder a archivos comprimidos que, una vez abiertos, podían tomar el control desde el interior.

Otra variante usa estructuras de archivos profundamente anidadas para saturar los directorios del sistema y provocar el fallo de memoria. Más adelante en agosto de 2026, la empresa de seguridad Wiz, respaldada por Google y participante de Patch the Planet, descubrió nuevos métodos de explotación.

La compañía calificó el caso como una de las vulnerabilidades más graves en la historia del software. Tras la publicación del parche, las empresas involucradas divulgaron sus hallazgos, mientras la comunidad especializada recordó que el uso de inteligencia artificial para automatizar ataques era una amenaza anticipada desde hacía tiempo.

¿Estamos frente a un cambio de era en las amenazas de ciberseguridad?

Vyas Sekar, profesor de ingeniería informática de la Universidad Carnegie Mellon, advirtió a CNN que este episodio puede anticipar una transformación más amplia en la seguridad digital.

“El sector de la ciberseguridad lleva mucho tiempo alertando sobre un inminente apocalipsis de seguridad, porque la IA es capaz de realizar estas tareas con una rapidez asombrosa, mejor que los humanos. Podría ser la primera de muchas. Es una llamada de atención”, dijo.

Sekar sostuvo que existen muchas más fallas comparables que esperan ser descubiertas y explotadas. Algunas ya son conocidas, pero otras permanecen ocultas en programas y servicios que forman parte de la infraestructura cotidiana de internet.

Ryan Austin, investigador de Calif, precisó que el grupo no usó un sistema de IA reservado o inaccesible para el público. La capacidad que permitió resolver el problema estaba disponible para usuarios comunes, una circunstancia que volvió insuficiente la protección basada en el agotamiento del posible atacante.

Por qué la publicación de un parche de seguridad no elimina de inmediato el peligro

La corrección no elimina de inmediato el riesgo para todos los servicios que usan PHP. Adam Meyers, vicepresidente de inteligencia contra adversarios de CrowdStrike, señaló a CNN que continúan en funcionamiento varias versiones obsoletas del lenguaje y que el parche probablemente no resolvió todos sus problemas.

Asimismo, Cloudflare señaló que hubo una filtración de información sobre la vulnerabilidad antes de que se hiciera pública la actualización. Esa situación derivó en miles de intentos de ataque durante las horas previas al anuncio oficial.

OpenAI sugirió desarrollar programas más seguros desde su origen, pero sustituir PHP no es una solución inmediata para las aplicaciones ya construidas con ese lenguaje. Meyers indicó que una migración requiere reconstruir por completo una aplicación, en lugar de cambiar un servicio por otro.