Periodismo útil para entender, gestionar y hacer crecer una empresa.
BuscarInvestigadores de Wiz y Calif han descubierto dos fallos críticos en PHP, el lenguaje que soporta el 70% de la web, utilizando modelos de IA avanzados. La divulgación ha provocado la suspensión de servicios en bancos japoneses y gobiernos europeos, mientras las agencias instan a actualizar el software o desconectar los sistemas afectados.
La inteligencia artificial ha marcado un antes y un después en la detección de fallos de seguridad al revelar dos vulnerabilidades críticas en PHP, el lenguaje de programación que sostiene aproximadamente el 70% de los sitios web del mundo. Estos defectos, bautizados como PHP2Shell y identificados con los códigos CVE-2026-109618 y CVE-2026-109619, permitían a los atacantes tomar el control de servidores sin necesidad de contraseñas. Lo más alarmante es que estos fallos habían permanecido ocultos en el código durante más de una década, un periodo en el que la capacidad humana para auditar software de tal complejidad resultó insuficiente.
El descubrimiento fue realizado por equipos de Wiz y Calif, una empresa de seguridad que colabora en el programa Patch the Planet de OpenAI. Mientras que Calif identificó el primer fallo el 1 de agosto utilizando el modelo GPT-5.6 Sol, Wiz halló el segundo de forma independiente el 19 de agosto empleando Gemini 4 Argon y su propio agente de investigación. Según Wiz, un solo investigador logró en una semana lo que a un equipo de élite le habría llevado meses, evidenciando cómo la IA acelera exponencialmente la identificación de riesgos en el código fuente.
La divulgación pública, ocurrida el 21 de octubre de 2026, desencadenó una reacción inmediata a escala global. Ante la gravedad de la amenaza, calificada con una puntuación de severidad de 9.2 sobre 10, las agencias de ciberseguridad de Estados Unidos, Europa y Asia emitieron alertas críticas. La Agencia de Seguridad Nacional (NSA) de EE.UU. advirtió que el fallo ofrecía una "ruta directa" para explotar las bases de datos de los sistemas afectados, instando a las organizaciones a actualizar PHP a las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o, en su defecto, a desconectar los servicios de la red.
El impacto fue tangible en el sector financiero y gubernamental. En Japón, bancos como MUFG y Mizuho suspendieron temporalmente transacciones en línea y aplicaciones móviles como medida preventiva, aunque la red de liquidación de fondos nacionales no se vio afectada. En Europa, agencias de los Países Bajos, Francia, Dinamarca y Finlandia apagaron sitios web públicos. En el Reino Unido, el gobierno confirmó que 32 sitios habían sido desconectados temporalmente, mientras que en Suiza, la Universidad de Ginebra y otras instituciones tomaron precauciones similares. Incluso Wikimedia, la organización detrás de Wikipedia, desactivó varios de sus sistemas.
Si bien la IA ha sido la herramienta que permitió descubrir estos fallos antes de que fueran explotados masivamente, también plantea nuevos riesgos. OpenAI advirtió que los mismos modelos capaces de encontrar vulnerabilidades pueden ayudar a los atacantes a desarrollar herramientas ofensivas y exploits con una rapidez sin precedentes. Matthew Prince, CEO de Cloudflare, reportó que en las primeras horas tras la divulgación, los intentos de explotación saltaron de miles a millones en cuestión de horas, aunque hasta el momento no se han confirmado ataques exitosos a gran escala.
Para las empresas, el riesgo no se limita a sus sitios web principales. CISA (Agencia de Seguridad Cibernética e Infraestructura de EE.UU.) señaló que PHP es un componente frecuente en software de terceros, lo que significa que las organizaciones pueden no ser conscientes de dónde se ejecuta. Un banco podría tener su sistema de transacciones central seguro, pero su portal de clientes o un proveedor de servicios externo podría estar expuesto. Esto amplía el perímetro de seguridad a incluir interfaces de gestión de dispositivos de red, equilibradores de carga y dispositivos embebidos, áreas a menudo olvidadas en las auditorías de seguridad.
Para los usuarios finales, el impacto es indirecto pero requiere atención. Ken Munro, un hacker ético, comparó la aplicación de las correcciones con "ejecutar una actualización de Windows". Los propietarios de sitios web, especialmente aquellos que utilizan WordPress o Drupal, deben contactar a sus proveedores de hosting o desarrolladores para confirmar que las parches se han aplicado al núcleo de PHP, ya que actualizar los plugins no resuelve el problema. Los usuarios deben estar atentos a posibles mensajes de phishing que exploten la notoriedad del incidente y seguir las recomendaciones de seguridad emitidas por los servicios que utilizan.
Este incidente marca un cambio de paradigma: la complejidad del software moderno ha superado la capacidad de las auditorías humanas tradicionales. Como señaló Salil Kanhere, investigador de la UNSW Sydney, "los bugs subyacentes no eran nuevos; lo que cambió fue nuestra capacidad para encontrarlos". La velocidad con la que la IA puede identificar y potencialmente explotar fallos obliga a las organizaciones a repensar sus estrategias de seguridad, pasando de un modelo reactivo a uno donde la detección continua y automatizada es la norma. La lección es clara: la seguridad digital ya no es solo una cuestión de código, sino de la capacidad de adaptación tecnológica ante herramientas que evolucionan a la misma velocidad que las amenazas.
Apollo Go inició pruebas de sus vehículos RT6 en Brent junto a Freenow, la plataforma de Lyft. El servicio comercial se plantea para 2027, pero depende de las autorizaciones regulatorias.
Leer contenido
Las acciones de Hilton dejarán de cotizar en la Bolsa de Nueva York tras el cierre del 4 de noviembre de 2026 y comenzarán a negociarse en el Nasdaq a la mañana siguiente. La compañía afirma que el cambio no requiere gestiones de los accionistas ni altera su estrategia.
Leer contenido
El IGAE avanzó 3,5% interanual con cifras desestacionalizadas, impulsado por la construcción, las manufacturas y el comercio mayorista. El resultado mejora las perspectivas de corto plazo, aunque el menor ritmo de los servicios y la debilidad de algunas actividades mantienen un panorama desigual.
Leer contenido