Medio internet tenía la puerta abierta y nadie pagaba la cerradura
El fallo llevaba unos catorce años en el motor de casi siete de cada diez webs del mundo. Esta semana, Mizuho, MUFG, Japan Airlines, las prefecturas francesas y el Parlamento neerlandés se desconectaron por precaución. Nadie los había atacado. Se apagaron ellos mismos porque no sabían si la cerradura funcionaba.
Las dos vulnerabilidades, bautizadas como PHP2Shell, permiten ejecutar código en un servidor sin usuario ni contraseña, en algunos casos antes de que la propia web llegue a cargar. PHP es el lenguaje que sostiene WordPress, Drupal, tiendas online y portales públicos. Según W3Techs, se usa en casi el 70% de las webs identificables. Y su mantenimiento depende de una fundación que en 2024 recibió 683.550 dólares en donaciones. Bancos, aerolíneas y ministerios funcionan sobre un presupuesto inferior al de muchas pymes.
No es la primera vez. En 2014, cuando estalló Heartbleed, supimos que OpenSSL, la librería que cifraba buena parte de internet, vivía con unos 2.000 dólares al año en donaciones. Hubo indignación, promesas y cheques durante tres años. Luego volvimos a la normalidad, que consiste en usar gratis lo que es de todos y acordarnos de pagarlo solo cuando se rompe.
Lo nuevo es quién ha encontrado la grieta. Investigadores de Calif dieron con el primer fallo usando GPT-5.6 Sol, y Wiz, la filial de seguridad de Google, llegó por su cuenta con Gemini 4 Argon. OpenAI lo presenta como la "ventana del defensor": la máquina encuentra el agujero antes que el delincuente y da tiempo a cerrarlo. La ventana duró dos meses en secreto y se cerró en un día. Amazon detectó un intento de explotación el 17 de octubre, cuatro días antes del parche, y Chainguard, acusada de romper el embargo, asegura que su equipo encontró los mismos fallos en una tarde con su propia IA. Si una empresa mediana lo consigue en unas horas, el secreto ya no protege a nadie.
Conviene no caer en el alarmismo: hasta ahora ningún gobierno ha confirmado una intrusión con éxito, y el apagón preventivo funcionó. Pero el reparto de papeles merece atención. La IA que descubre el fallo es estadounidense. La coordinación se hizo con la Casa Blanca y la CISA. La protección provisional la pusieron Cloudflare y Amazon. Europa, que lleva años legislando sobre soberanía digital y regulando la inteligencia artificial antes que nadie, aportó la respuesta más antigua del manual: desenchufar.
Nadie diseñó esto así, pero el resultado es una concentración de poder silenciosa. Quien tiene el mejor modelo decide cuándo se publica un fallo, a quién avisa primero y quién se entera el último. Esta vez, el resto del mundo se enteró a la vez que los atacantes. La seguridad del bien común más importante del siglo ya no depende de quien lo mantiene ni de quien lo usa. Depende de quien alquila la linterna.
Fuentes
Prensa y medios especializados
The Next Web (2026). "Millions of PHP2Shell attempts so far, but officials see no break-in". thenextweb.com
The Next Web (2026). "PHP rushes out emergency patches for two critical bugs AI found first". thenextweb.com
Malwarebytes (2026). "PHP2Shell: Why websites are going offline for emergency security updates". malwarebytes.com
Diario de La Mancha (2026). "Un fallo en PHP obliga a revisar millones de webs". diariodelamancha.com
Techzine (2026). "PHP accuses Chainguard in PHP2shell". techzine.eu
AlphaSignal (2026). "OpenAI's PHP2Shell exposes 70% of websites to remote code attacks". alphasignal.ai
eWeek (2014). "Will Open-Source Money Prevent the Next Heartbleed?". eweek.com
Institucional / Oficial
The PHP Foundation (2025). Impact and Transparency Report 2024. thephp.foundation
Amazon Web Services (2026). Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot. aws.amazon.com
