Según un análisis de Cloudflare citado por WIRED, en las horas posteriores a la divulgación pública de nuevas vulnerabilidades de PHP se registraron millones de intentos de explotarlas. Los fallos, denominados en conjunto PHP2Shell, llevaron a los equipos de seguridad y administradores web a apresurarse a instalar parches.
Hasta ahora, no se ha informado de ninguna brecha masiva. La PHP Foundation afirma que no ha detectado ninguna explotación exitosa de los fallos, y muchos de los exploits que circulan públicamente parecen ineficaces. WIRED no identifica las versiones de PHP afectadas ni indica cómo instalar los parches.
La IA ayudó a los investigadores a encontrar una vía de ataque
Investigadores de la empresa de seguridad Calif fueron los primeros en detectar las vulnerabilidades y crear exploits a principios de agosto, en parte con herramientas de IA de vanguardia mediante el programa Patch the Planet de OpenAI. Su trabajo también se apoyó en conocimientos humanos sobre PHP. Más adelante, investigadores de OpenAI y Wiz, propiedad de Google, encontraron por separado fallos de PHP2Shell con herramientas de IA.
Algunos de los problemas subyacentes se habían identificado en 2024, pero se consideraban demasiado difíciles de explotar. Sagi Tzadik, investigador de Wiz, dijo que el equipo de PHP conocía la vulnerabilidad desde hacía años, pero no la había abordado porque un atacante humano no podía aprovecharla. La IA permitió convertir en explotable un fallo que antes no era práctico atacar.
Más presión, pero no hackeos automáticos
El caso muestra cómo la IA puede acelerar el análisis y la explotación de vulnerabilidades, lo que añade presión a los equipos de seguridad que ya gestionan un gran número de fallos. WIRED señala que las actualizaciones de seguridad de Microsoft incluyeron un récord de 1,453 vulnerabilidades ese mes y que Bank of America contrató a 1,000 consultores para abordar fallos detectados por Mythos, de Anthropic.
Los investigadores citados por WIRED advierten que no hay que suponer que la IA encontrará todos los fallos antiguos. Ryan Austin, investigador de Calif, dijo que ningún modelo puede detectar todos los fallos con instrucciones sencillas; otros expertos subrayaron que el hallazgo en PHP requirió un equipo cualificado. Un investigador también señaló que la amplia exposición de PHP a internet lo convierte en un objetivo atípico, y que esto no demuestra que todos los fallos antiguos de software estén a punto de volverse explotables.
Por qué importa
Para quienes administran sistemas PHP, el artículo de WIRED es un motivo para tomarse en serio los fallos divulgados públicamente: los intentos llegaron rápidamente, aunque no se hayan informado ataques exitosos. WIRED no especifica las versiones afectadas ni los parches, así que los administradores tendrán que consultar la información oficial de PHP en lugar de deducir si sus sistemas están expuestos.
