Fallas graves en PHP, detectadas con la ayuda de agentes de inteligencia artificial, llevaron a gobiernos y organizaciones de Europa y Estados Unidos a desconectar sus sitios web temporalmente este miércoles 21 de octubre de 2026, según Los Angeles Times. La idea era ganar tiempo para aplicar los parches de seguridad. El tema les toca de cerca a quienes tienen un negocio en Brasil. PHP está detrás de una porción enorme de la web, y muchos sitios de empresas de allí también funcionan con este lenguaje.
El riesgo no es menor. De acuerdo con el reportaje, la división cibernética del FBI advirtió que estas brechas pueden permitir la ejecución remota de código. Dicho de otro modo, alguien de afuera podría ejecutar comandos en el servidor sin autorización. Eso aumenta la probabilidad de que datos sensibles y redes queden comprometidos. La recomendación de la agencia fue directa: si el sitio no se puede actualizar de inmediato, lo más seguro es desconectarlo.
Hubo quienes siguieron el consejo al pie de la letra. El sitio del gobierno de Finlandia, por ejemplo, funcionó solo de forma parcial durante el día, con un aviso a los visitantes sobre la inestabilidad mientras se resolvía el problema.
El alcance del lenguaje ayuda a entender tanta prisa. Ismael Valenzuela, de la empresa de ciberseguridad Arctic Wolf, le dijo al diario que PHP se usa en cerca del 70 % de los sitios cuyo lenguaje de servidor se conoce. Eso sí, hizo una aclaración importante: no quiere decir que todo sitio en PHP sea vulnerable. Aun así, según él, las fallas exigen atención inmediata, porque ponen en riesgo una parte relevante de la infraestructura comercial de internet.
Reciba el mejor contenido sobre innovación en su correo electrónico.
Todas las noticias, consejos, tendencias y recursos que buscas, directamente en tu bandeja de entrada.
Al suscribirte al boletín informativo, aceptas recibir comunicaciones de Método Viral. Nos comprometemos a proteger y respetar siempre tu privacidad.
Cómo la IA encontró el problema antes que los atacantes
Las vulnerabilidades descubiertas por IA no salieron de la nada. Según Los Angeles Times, OpenAI contó en su blog que lideró, durante los últimos dos meses, una coalición de investigadores, empresas de seguridad y otros socios para atender el caso. Wiz y Cloudflare están entre los nombres mencionados.
Los encargados de las correcciones y del lanzamiento fueron los propios mantenedores de PHP. Los socios aportaron investigación, soporte técnico y coordinación, para que las protecciones estuvieran listas antes de que el problema se hiciera público. Es ese trabajo tras bambalinas que casi nadie ve, pero que marca la diferencia cuando la noticia por fin estalla.
OpenAI calificó estas fallas como uno de los problemas de seguridad de mayor impacto de los últimos tiempos. De acuerdo con el reportaje, la empresa considera que la IA encontró las brechas antes que cualquier atacante. Y dejó una advertencia: hay otras vulnerabilidades importantes ya identificadas y en proceso de corrección, y la compañía espera que este tipo de hallazgos crezca bastante en los próximos meses.
Hay un detalle que llama la atención. Valenzuela le contó al medio que algunas de estas fallas llevaban más de diez años ahí. El código no cambió. Lo que cambió fue la capacidad de encontrar esas debilidades y convertirlas en ataques que funcionan de verdad. Es una tendencia que ya se venía viendo en casos como el de Anthropic y Mythos exponiendo vulnerabilidades críticas.
La velocidad ayuda, pero también preocupa
El episodio llega en un momento delicado. Como recuerda el diario, a los agentes de IA se les ha señalado como responsables de varios incidentes de seguridad de gran repercusión en los últimos meses, lo que abrió dudas sobre cómo desarrollar esta tecnología de forma segura. En el caso de PHP, la misma IA aparece del lado de quienes defienden.
Raghu Nandakumara, de la empresa de ciberseguridad Illumio, resumió esa paradoja ante el medio. Para él, la IA no es peligrosa ni protectora por naturaleza. El punto es que la rapidez sin control crea un nuevo tipo de problema para la seguridad de sitios web, sobre todo cuando las organizaciones no logran corregir de inmediato todos los sistemas afectados. Cuanto más rápido encuentra la IA debilidades, más importa pensar en lo que pasa después de que salen a la luz. El debate sobre cómo la IA potencia a los hackers muestra bien la otra cara de la moneda.
Qué hacer ahora para proteger los sitios de empresas brasileñas
La buena noticia es que la corrección ya existe. La PHP Foundation publicó los ajustes junto con instrucciones de actualización, según Los Angeles Times. Así que el primer paso es actualizar.
Si no te encargas de la parte técnica, conviene escribirle hoy mismo a tu proveedor de hosting o a quien mantiene el sitio. Con dos preguntas ya se aclara mucho: qué versión de PHP usa el sitio y si ya se aplicó la actualización de seguridad. Plataformas populares, como WordPress y muchas tiendas en línea, funcionan con PHP. Hay muchísima gente usando este lenguaje sin siquiera saberlo.
Herramientas que usamos a diario
¿Y si la actualización no puede hacerse en el momento? Ahí entra el plan B que sugiere el FBI: considerar dejar el sitio fuera de línea por un tiempo. Puede sonar exagerado, pero piensa en una tienda online que se queda unas horas sin funcionar. Claro que se pierden ventas. Pero una filtración de datos de clientes suele causar un daño mucho mayor, tanto en la caja como en la reputación.
También ayuda revisar plugins, temas y sistemas viejos que nadie toca desde hace tiempo. Las fallas que pasaron años escondidas son justo el tipo de cosa que ahora resulta más fácil de encontrar.
Para quienes emprenden o trabajan en marketing y tecnología, el caso deja una lección práctica. Si se cumple la previsión de OpenAI, las nuevas vulnerabilidades deberían aparecer con más frecuencia, y la presión por corregir rápido tiende a aumentar. Cuidar la seguridad del sitio deja de ser una tarea ocasional y pasa a formar parte de la rutina. Para conocer otro ángulo de esta historia, mira la noticia sobre contraseñas expuestas por agentes de IA.
