OpenAI, Wiz (propiedad de Google) y la startup de ciberseguridad Calif aseguran que, mediante inteligencia artificial, lograron descubrir dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por cerca del 70% de los sitios web de internet. La gravedad de las fallas encendió las alarmas en el sector tecnológico. "Consideramos que este es uno de los problemas de seguridad más importantes de los últimos tiempos", advirtió OpenAI en una publicación de su blog.

Los responsables de sitios web de todo el mundo están trabajando para corregir estas vulnerabilidades en PHP, uno de los lenguajes de programación más utilizados en internet. Para entender la gravedad del problema, es importante conocer qué función cumple esta tecnología. Mientras que HTML y CSS permiten definir la estructura y la apariencia visual de una página, PHP se encarga de ejecutar procesos internos esenciales para su funcionamiento, como verificar la identidad de los usuarios cuando inician sesión o procesar pagos en línea. Por eso, una falla de seguridad en este lenguaje puede comprometer tanto el funcionamiento de los sitios web como la información que manejan.

Ante la gravedad de la situación, organismos de seguridad como el FBI de Estados Unidos y el GCHQ del Reino Unido recomendaron instalar las actualizaciones disponibles lo antes posible. En Europa, algunos gobiernos incluso optaron por desactivar temporalmente sus sitios web mientras implementaban los parches de seguridad necesarios para solucionar los problemas.

Según los investigadores de OpenAI, Calif y Wiz, las vulnerabilidades fueron identificadas mediante una combinación de los modelos de inteligencia artificial GPT-5.6 Sol, de OpenAI, y Gemini 4 Argon, de Google. Las fallas llevaban más de una década presentes en el código de PHP, aunque hasta ahora no se habían registrado ataques que las aprovecharan. Su gravedad radica en que un ciberdelincuente podría utilizarlas para instalar programas maliciosos en servidores vulnerables o acceder a información confidencial de los usuarios, incluidos datos personales y financieros.

"Estos hallazgos se encuentran entre las vulnerabilidades más graves descubiertas en PHP y, posiblemente, en toda la historia del software", advirtieron los investigadores de Wiz en una publicación de su blog. La compañía denominó "php2shell" a los métodos de ataque desarrollados con ayuda de inteligencia artificial para aprovechar estas fallas de seguridad.

Según explicaron los especialistas, demostrar que estas vulnerabilidades podían utilizarse para realizar ataques requería una combinación de procedimientos extremadamente complejos, incluso para investigadores experimentados. Sin embargo, los modelos de inteligencia artificial más avanzados lograron simplificar ese proceso, lo que permitió transformar problemas que llevaban años ocultos en el código de PHP en posibles herramientas para ejecutar ciberataques.

Ante esta amenaza, el equipo de desarrollo y seguridad de PHP, responsable del mantenimiento del lenguaje de programación, publicó el 21 de octubre nuevas versiones que corrigen las vulnerabilidades detectadas. Las actualizaciones ya pueden descargarse desde el sitio web oficial de PHP. Por su parte, Cloudflare, empresa especializada en seguridad y servicios de infraestructura web, también implementó medidas de protección en su firewall de aplicaciones web (WAF), una herramienta que permite identificar y bloquear solicitudes maliciosas antes de que lleguen a los servidores. Sin embargo, estas medidas no reemplazan la necesidad de actualizar PHP para solucionar las fallas de origen.

El caso pone de manifiesto el creciente protagonismo de la inteligencia artificial en el ámbito de la ciberseguridad. Si bien esta tecnología permite detectar vulnerabilidades que podrían pasar inadvertidas durante años, también facilita el desarrollo de ataques cada vez más sofisticados. De hecho, el mes pasado, Forbes informó sobre un hacker que utilizó modelos de inteligencia artificial de Anthropic y DeepSeek para atacar más de 100 sitios web y robar más de 600.000 registros de tarjetas de crédito.

Greg Brockman, cofundador de OpenAI, escribió en X: "Creo que estamos entrando en una nueva etapa de la ciberseguridad, en la que los modelos de inteligencia artificial son capaces de descubrir vulnerabilidades con un impacto a escala de internet. Los especialistas en seguridad de todo el mundo tienen un papel fundamental: utilizar estos modelos para fortalecer sus defensas, identificar y corregir problemas en la infraestructura compartida y compartir buenas prácticas que, en última instancia, contribuyan a que internet sea más seguro".

*Este artículo fue publicado originalmente por Forbes.com