PHP2Shell, paso a paso: así se desarrolló la amenaza que puso en alerta a internet

Fallo humano o falta de adaptación a la inteligencia artificial (IA). Este es el principal dilema tras el episodio sufrido este miércoles, cuando la Agencia de Seguridad Nacional de Estados Unidos (NSA por sus siglas en inglés) anunció una doble vulnerabilidad en el lenguaje PHP, considerado uno de los lenguajes de programación más utilizados en el desarrollo web y bajo el que actúa el 70 % de las distintas plataformas webs.

En concreto, esta brecha digital tuvo como principal responsable a la inteligencia artificial, que detectó vulnerabilidades en los sistemas que llevaban ocultas desde hacía años. Tenemos que remontarnos a los meses de julio y agosto de este año, cuando los distintos ingenieros y responsables descubrieron fallos en el núcleo del PHP y lo reportaron en secreto. El objetivo era claro, sacar un parche que permitiera subsanar esta vulnerabilidad digital. La fecha para esta acción estaba marcada en rojo en el calendario, según se puede leer en la plataforma de ciberseguridad especializada CybelAngel: el 22 de octubre de 2026.

Sin embargo, solamente dos días antes de lanzar estos parches, se rompió el embargo, dándose a conocer en el foro Hacker News las vulnerabilidades –nombradas PHP2Shell–, lo que permitió a los hackers tener ventajas y generando un caos total debido a estas vulnerabilidades que pueden permitir la ejecución remota de código sin autenticación. Una vez filtrado, los ciberataques se fueron acumulando antes del lanzamiento de un parche oficial, siendo la empresa Cloudflare una de las primeras en detectar estos primeros ciberataques.

La situación era insostenible, provocando que se adelantaran versiones de emergencia para actualizar el código PHP, generando que agencias gubernamentales de decenas de países apagaran o desconectaran aquellos servidores que no pudieran 'actualizarse' de manera inmediata.

Para hacernos una idea de su importancia, aproximadamente 2,24 millones de servidores web con acceso a internet anuncian PHP, y el 59 % de los que informan una versión (883.717 de aproximadamente 1,5 millones) utilizan una rama sin lanzamiento oficial.

Expertos advierten sobre el aumento de riesgos asociados a la IA

Ante esta situación, expertos en computación y ciberseguridad han alertado hoy, tras las alertas que ayer se desataron en numerosos países ante las vulnerabilidades detectadas en uno de los lenguajes de programación más utilizados en el mundo y también de las posibilidades de frenarlos, gracias a la inteligencia artificial.

Sergey Lozhkin, responsable de uno de los centros de investigación de la empresa de ciberseguridad Kaspersky, ha apuntado que el problema detectado podría convertirse «en una de las vulnerabilidades más importantes de 2026», y ha advertido de su impacto potencial ya que el fallo podría permitir la ejecución remota de un código, lo cual es una de las formas más graves de compromiso de un sistema.

Por su parte, Gunnar Hellekson, vicepresidente de Lightwell –una iniciativa conjunta de la multinacional IBM y Red Hat para identificar y corregir vulnerabilidades en programas de código abierto– ha advertido de que el efecto dominó derivado de las vulnerabilidades en un software fundacional como el de PHP puede extenderse a industrias enteras: «La situación a la que se enfrenta PHP es un recordatorio de lo profundamente arraigado que está el código abierto en los sistemas que sostienen la actividad empresarial global».