Fallos de PHP hallados con IA: la NSA pide parchear o desconectar

La Agencia de Seguridad Nacional de EE. UU. (NSA) ha emitido una alerta urgente sobre dos vulnerabilidades críticas en PHP, el lenguaje de servidor que funciona detrás de cerca del 70 % de los sitios web. La PHP Foundation ya ha publicado los parches. La recomendación de la NSA es tajante: si un sitio no puede parchearse de inmediato, debe retirarse de internet hasta que pueda.

Los fallos permiten a los atacantes acceder al sistema de archivos del servidor o a la base de datos que use la aplicación web. Están presentes en todas las versiones de PHP desde PHP 5, lanzado en 2004. Las versiones 8.1 y anteriores ya no tienen soporte, así que muchos sitios necesitarán una actualización mayor. Se recomienda la versión actual, PHP 8.5.12.

Cómo los encontró la IA

Según informa TechCrunch, los hallazgos surgieron de investigaciones asistidas por IA. La firma de seguridad Calif, dentro de la iniciativa "Patch the Planet" de OpenAI para software de código abierto, encontró uno de los fallos con GPT‑5.6 Sol. Por separado, Wiz, de Google, empleó su agente de seguridad Wiz Atlas junto con Gemini 4 Argon y GPT-5.6 Sol para detectar varias vulnerabilidades.

Ambos equipos siguieron prácticas de divulgación responsable y trabajaron con PHP en los parches antes de hacerlos públicos. Wiz agradeció además a Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel su ayuda para probar las correcciones. WordPress, que se ejecuta sobre PHP, afirmó que el problema no es exclusivo de su software y que los propietarios deben parchear sus servidores y coordinarse con sus proveedores de hosting.

Por qué el riesgo es real

OpenAI asegura que los investigadores dieron con los fallos antes que los atacantes y no se han notificado explotaciones. Wiz advierte de que antes eran muy difíciles de aprovechar, pero la IA elimina esa barrera: los modelos de lenguaje pueden ayudar a adaptar un exploit a distintas versiones de PHP, configuraciones y distribuciones de memoria.

Ahora que los detalles son públicos, empieza la carrera por actualizar decenas de millones de sitios antes de que los atacantes se centren en los que sigan sin parche. Conviene revisar la versión de PHP, pasar a una compatible y preguntar al proveedor de hosting por su estado de actualización.