Luego de que el desarrollador del lenguaje de programación PHP publicara el parche de ciberseguridad 8.5.12, a fin de evitar ataques maliciosos de ciberdelincuentes por una falla grave en ese recurso, gobiernos y empresas trabajaron durante toda la noche en actualizaciones de seguridad urgentes. El descubrimiento de graves vulnerabilidades en un lenguaje de programación fundamental para el 70 % de los sitios web a nivel mundial fue asistido por la inteligencia artificial.
Si bien muchos sitios gubernamentales parecían funcionar con normalidad este jueves, persistieron interrupciones o limitaciones en el servicio mientras se llevaban a cabo las labores de seguridad. A medida que empresas y gobiernos implementaban parches y suspendían sitios web como medida de precaución, los intentos de piratería informática se dispararon hasta alcanzar los millones, según la firma de servicios en la nube Cloudflare.
"En las 10 horas previas al anuncio público, observamos miles de intentos de explotarlo en toda nuestra red", señaló Matthew Prince, director ejecutivo de Cloudflare, en una publicación en X a última hora del miércoles. "La cifra aumentó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en un plazo de 2 horas, y ahora se cuenta en millones".
La división cibernética del FBI advirtió el miércoles que dichas vulnerabilidades podrían permitir a actores malintencionados ejecutar código de forma remota en PHP, el lenguaje de programación que sustenta sitios web y aplicaciones web. Según la agencia, esto aumenta el riesgo de que se vean comprometidos datos confidenciales y redes; por ello, recomendó a los administradores desconectar los sitios web si no es posible actualizarlos de inmediato.
En el Reino Unido, la oficina del primer ministro informó que algunos servicios gubernamentales "limitados" podrían permanecer desconectados temporalmente mientras se trabaja para resolver posibles problemas de ciberseguridad.
"Se han realizado labores en todo el Gobierno para identificar y corregir posibles vulnerabilidades en nuestros sistemas; nuestros expertos continúan trabajando en estrecha colaboración tanto con OpenAI como con socios internacionales para abordar este asunto", señaló una portavoz este jueves.
PHP 8.5.12 released - 90 fixes in 29 components, including security fixes (CVE-2026-109618, CVE-2026-109619). Changelog + downloads: https://t.co/q5agMkUfNe
— php-net (@php_net) October 21, 2026
James Sullivan, director de Ciberseguridad y Tecnología del Royal United Services Institute en Londres, explicó que las dos fallas críticas detectadas mediante inteligencia artificial podrían permitir a actores maliciosos obtener acceso no autenticado a sitios web; en teoría, esto les daría la capacidad de controlar un servidor web de forma remota sin necesidad de una contraseña. Según Sullivan, esto podría permitir a un atacante robar o alterar datos, o bien utilizar el sistema como plataforma para lanzar otros ataques.
Sullivan calificó la desconexión de los sitios web durante la resolución del problema como una "buena práctica" y una gestión adecuada del riesgo cibernético; no obstante, señaló que resulta "asombroso" que algunas de estas fallas tengan más de una década de antigüedad.
El descubrimiento de estas vulnerabilidades fue posible gracias a agentes de inteligencia artificial. En una publicación en su blog, OpenAI informó que, durante los últimos dos meses, ha liderado una coalición compuesta por investigadores, proveedores de seguridad y otros actores para abordar las vulnerabilidades en PHP.
OpenAI describió estas fallas como "uno de los problemas de seguridad de mayor impacto que se recuerdan recientemente". Se indicó que la IA parecía haber detectado las vulnerabilidades antes que cualquier atacante.
"Esto tiene su lado bueno y su lado malo", señaló Sullivan, explicando que, si bien la IA puede ayudar a los atacantes a identificar nuevas vulnerabilidades, también puede servir para descubrirlas y corregirlas.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.
— NSA Cyber (@NSACyber) October 21, 2026
"Si resulta difícil aplicar el parche de corrección con prontitud, la suspensión temporal de los sitios web —u otras medidas similares— puede considerarse una forma eficaz de reducir el riesgo", señaló Sanae Takaichi.
El secretario jefe del Gabinete, Minoru Kihara, indicó que el gobierno no ha recibido informes sobre daños causados por ciberataques relacionados con esta vulnerabilidad en PHP.
Una de las vulnerabilidades corrompe la memoria del sistema —impidiéndole retener determinados datos—, lo que permite a un atacante aprovechar el sistema mediante su propio código. El otro fallo provoca que los datos de los usuarios permanezcan almacenados en el sistema en lugar de ser eliminados, lo que podría permitir que un tercero malintencionado acceda a ellos, los descargue o incluso los borre, explicó Sullivan.
La PHP Foundation, que cuenta con desarrolladores dedicados a reforzar la seguridad de este lenguaje de programación, anunció el miércoles por la tarde (hora europea) la publicación de correcciones para estas vulnerabilidades, junto con instrucciones sobre cómo actualizar los sistemas.
La Agencia de Ciberseguridad de la Unión Europea (ENISA) recomendó a las organizaciones "tomar medidas inmediatas" para abordar estas vulnerabilidades.
