Dos vulnerabilidades críticas de PHP halladas por IA tumban webs oficiales y ponen en riesgo al 70% de Internet.
Claves de la operación
- El alcance: siete de cada diez páginas del planeta. PHP sostiene WordPress, Drupal, Joomla y buena parte del comercio electrónico. El fallo no distingue entre el blog de un barrio y el portal de un ministerio.
- Gobiernos europeos ya han apagado sus portales. Agencias de Países Bajos y Finlandia retiraron sus sitios por precaución, mientras la NSA y el NCSC británico recomiendan desconectar sistemas si no hay parche inmediato.
- Las pymes españolas, sin equipo de guardia. Buena parte de los sitios corporativos pequeños del país corre sobre PHP y no tiene a nadie vigilando la actualización, lo que convierte cada aviso en una carrera contrarreloj.
PHP2Shell: el fallo que no distingue entre un blog y un ministerio
El hallazgo, bautizado como PHP2Shell, apunta a dos fallos que permiten ejecutar código en el servidor sin autenticación previa. No es un error de una aplicación concreta: afecta a el lenguaje PHP, que interpreta la mayoría de los portales dinámicos y que llevaba más de una década sin un susto de esta magnitud. La inteligencia artificial ha afinado la puntería y ha convertido una revisión rutinaria de código en una caza mayor. Lo que antes exigía un equipo humano durante semanas, ahora lo resuelve un modelo en unas horas.
Los afectados dibujan un mapa heterogéneo. Foros como 4chan, plataformas creativas como DeviantArt, enciclopedias como Wikipedia, y servicios lúdicos como Pokémon Home han reconocido interrupciones o parcheos de urgencia. La lista mezcla ocio, cultura y comercio, y ahí está el problema: el mismo esqueleto técnico sostiene a todos. Un fallo en la capa más básica viaja hacia arriba sin pedir permiso.
La reacción institucional ha sido más contundente que en episodios anteriores. La cuenta de ciberseguridad de la NSA pidió retirar sistemas si la actualización no era viable de inmediato. El Centro Nacional de Ciberseguridad del Reino Unido emitió una recomendación idéntica. Apagar antes que arriesgar se ha impuesto como doctrina provisional, y ese gesto tiene lectura económica: cada hora de servicio caído se traduce en pérdida de confianza y en costes de recuperación.
Países Bajos y Finlandia han preferido el apagón preventivo a la espera de un parche estable. La decisión tiene coste político: un portal público caído es una promesa institucional rota. Pero el cálculo de riesgo ha pesado más. La alternativa, un servidor comprometido, es peor para la reputación y para los datos de los ciudadanos. Ahí no hay margen de maniobra.
El fallo no ha escogido a sus víctimas por tamaño, sino por la prisa con la que actualizan.
El negocio del alojamiento se juega la continuidad
Para los proveedores de hosting, la vulnerabilidad crítica PHP es una prueba de resistencia operativa. El sitio oficial de PHP concentra las notas de versión y los avisos, pero la adopción depende de cada proveedor. En alojamiento compartido, un solo servidor puede hospedar cientos de dominios; si el fallo entra, no distingue de quién es el cliente. La diferencia entre un buen y un mal proveedor se mide en horas, no en megas de disco. El cliente, sea una tienda o un despacho, solo lo nota cuando ya es tarde. Y para entonces la factura ya está emitida.
El ecosistema WordPress concentra la mayor exposición. Millones de instalaciones dependen de plugins desarrollados por terceros que rara vez se actualizan a tiempo. Cada extensión abandonada es una puerta abierta y el aviso de PHP2Shell ha puesto el foco en esa cadena de confianza tan cómoda como frágil. Los mantenedores trabajan contrarreloj; los usuarios, ni se enteran.
En España, WordPress es el gestor de contenido mayoritario entre pymes, medios digitales y administraciones locales. La mayoría de esos sitios no tiene un plan de contingencia más allá de la copia de seguridad semanal. El problema no es técnico: es de prioridades y de presupuesto. Y también de quién asume la responsabilidad cuando el proveedor externaliza.
La IA descubre fallos más rápido de lo que las empresas parchean
El episodio recuerda a Log4Shell en 2021 y a Shellshock en 2014, pero introduce una variable nueva: la inteligencia artificial acelera el descubrimiento de fallos a un ritmo que la gestión de parches no puede seguir. Lo que antes requería semanas de auditoría manual ahora se detecta en horas. La ventaja se ha trasladado al atacante, y también al defensor que sepa moverse rápido. El problema es que casi nadie se mueve rápido cuando el departamento de sistemas es un autónomo a media jornada.
En el IBEX 35, la lectura es doble. Indra y Telefónica Tech venden servicios de ciberseguridad y pueden captar demanda de choque; al mismo tiempo, sus clientes empresariales afrontan la actualización con plantillas mermadas. La brecha entre parchear y sobrevivir se llama presupuesto. Y en la pyme media española, ese presupuesto sigue siendo la primera partida que se recorta. La consecuencia es que el eslabón más débil de la cadena no es el código, sino la organización.
Queda una pregunta incómoda. Si la IA encuentra agujeros más rápido de lo que las organizaciones pueden cerrarlos, el modelo de actualización reactiva se agota. La siguiente tanda de alertas de INCIBE y la próxima ronda de parches marcarán el tono. La siguiente actualización de PHP no será la última, pero sí la más observada de los últimos años. Hasta entonces, la instrucción es simple: actualizar, verificar y no dar por hecho que el proveedor lo ha resuelto solo.
