“Es una de las vulnerabilidades más gordas que he visto en mi vida”, “ahora mismo está internet lleno de gente buscando máquinas vulnerables”. Así describe Sancho Lerena, CEO de la empresa de ciberseguridad Pandora, el terremoto que ha sacudido internet esta semana.

Dos vulnerabilidades descubiertas en el lenguaje de programación PHP han convertido en vulnerable a más del 70% de las páginas web de todo el mundo y por extensión a sus responsables. La Fundación PHP avisó del riesgo a punto de lanzar la solución para parchear el fallo informático, pero el caos ha cundido igualmente.

"En las 10 horas previas al anuncio público, vimos miles de intentos de explotar la vulnerabilidad en toda la red", declaró Matthew Prince, director ejecutivo de la empresa de servicios en la nube Cloudflare (NET.N) "Esa cifra aumentó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en 2 horas y a millones ahora".

El cóctel explosivo de esta historia combina una brecha de seguridad que puede aprovecharse en remoto y sin acceso previo, que se encuentra en la base sobre la que se ha construido la mayor parte del internet actual y con filtraciones y herramientas de IA que han acelerado el desenlace.

En qué consiste

Las dos brechas llevaban una década en el código de PHP. La fundación ha reconocido que una auditoría externa reveló los primeros indicios en 2024. "No pretendemos negarlo: la demora fue un fallo estructural" india un informe publicado en su web.

No ha sido hasta este verano, cuando tres equipos encontraron a la vez cómo explotar las vulnerabilidades con ayuda de la IA. La firma Calif y el equipo de investigadores de OpenAI usaron el modelo GPT-5.6 Sol (el mismo cuyos agentes han protagonizado hackeos recientemente). Mientras, la empresa Wiz, propiedad de Google combinó herramientas propias como Gemini 4 Argon. Esta tecnología no solo ha facilita descubrir nuevas brechas más rápido, también ha servido para desarrollar los parches con los que tapar la grieta encontrada.

Las dos vulnerabilidades han recibido el nombre de PHP2Shell y tienen una puntuación de 9,2 sobre 10 en la escala CVSS, que mide la gravedad en ciberseguridad. Parte de esa peligrosidad reside en que PHP es un lenguaje de programación utilizado en hasta el 70 % de los sitios web de internet. Por ejemplo, todos los sitios diseñados con WordPress.

Cuando alguien visita una de estas páginas, PHP procesa la petición, consulta los datos necesarios y prepara el contenido que se muestra en pantalla. Para hacerlo, utiliza una parte de la memoria del ordenador donde está alojada la web, que después libera para atender nuevas peticiones. Los dos fallos de seguridad detectados aprovechan errores que pueden producirse durante ese proceso: uno cuando PHP se queda sin memoria y otro cuando termina de atender una petición y prepara la siguiente.

El resultado es que el sistema deja la puerta abierta para que un atacante entre y ejecute sus propias instrucciones. Aquí, radica la primera clave de esta hecatombe, no requiere que el hacker tenga que estar físicamente cerca del sistema, puede realizarse de forma remota, ni tampoco es necesario tener acceso previo a una red o sistema protegido, es la vasta red de internet abierta de par en par.

Carreras

La publicación del descubrimiento y los parches se iban a publicar este jueves, pero un mensaje en el foro Hacker News aceleró todo. La fundación sin ánimo de lucro que gestiona PHP tuvo que adelantar un día la publicación de los parches.

Sancho Lerena indica que la gestión del fallo ha agravado más la situación. Las vulnerabilidades se mantuvieron en secreto durante meses hasta tener listos los parches para no dar pistas, procedimiento habitual. Pero unos días antes comenzaron a filtrarse los detalles.

Ante los rumores en ciberseguridad ”normalmente se piden pruebas, pero era tan grave que solo con los rumores ha cundido el pánico”, explica Lerena. Análisis de Amazon Web Services han revelado que la semana pasada ya había actores intentando explotar el fallo. La reacción ha sido en cadena.

Antes de que se publicaran los parches, el director de tecnología de Cloudflare, Dane Knecht, confirmó que la empresa ya había implementado un conjunto de reglas para bloquear métodos conocidos de explotación de PHP2Shell y estaba detectando ataques tempranos dirigidos a las dos vulnerabilidades. Este consiguió contener buena parte del trafico malicioso hasta que estuviera listo el parche (Cloudflare gestiona casi el 20% de internet)

Al mismo tiempo, empresas y gobiernos de todo el mundo se apresuraron a cerrar sus servicio online como medida cautelar hasta implementar las actualizaciones con los parches: webs institucionales, sistemas de identificación digital, servicios online de hospitales y universidades. Cierre temporal hasta que llegara la solución.

Esta llegó en forma de parche el miércoles por la tarde. “Cuando salió todo el mundo sabía que era vulnerable, no había visto algo así jamás” dice Lerena. Aquí empieza una nueva fase de caos, saber dónde aplicar el parche.

“El proceso de parchear es supersencillo, se hace en un minuto, la dificultad está en que la mayoría de las empresas tienen un cacao informático y no saben donde tienen aplicado PHP, nosotros nos dedicamos a eso”, explica el experto.

Las herramientas de IA también se están implementando en ciberseguridad para detectar con mayor rapidez esos recovecos en los que se requiere una actualización. Un problema al que se enfrenta todo el mundo, tanto grandes como pequeños.

Una nueva era

En 2024 un fallo de seguridad en CrowdStrike bloqueó durante un día medio mundo, incluso aeropuertos, dejando clara la debilidad de un mundo cada día más interconectado y dependiente de los mismos sistemas informáticos.

El año pasado, en 2025, numerosas caídas de servidores de internet reforzaron ese mensaje: la inmensidad de la red depende en gran medida de los mismos cuatro proveedores.

Un año después, todo vuelve a estallar con esta brecha de seguridad en PHP. Un terremoto que se ha sentido de forma acelerada por varios factores: la gravedad de la vulnerabilidad, una mala gestión del incidente y el impulso que ofrecen las herramientas de IA tanto para parchearla como para aprovecharse de ella.

La IA se usa en prácticamente todos los ataques a día de hoy. La automatización que ofrecen los modelos más modernos supone que se alcance más rápido y con menos recursos impactos que antes dependían de muchos expertos y meses de trabajo.

A principios de este mes, los principales bancos surcoreanos sufrieron el robo de información de sus clientes por parte de un hacker con sede en China. Según analistas de ciberseguridad, este hacker parecía ser un aficionado que utilizó herramientas de IA para ejecutar el ataque.