“PHP es el equivalente cibernético de una bomba sin explotar”
Fuente de la imagen, Reuters
Una vez trabajé frente a una obra donde estaban construyendo un centro comercial.
Nos advirtieron que durante la construcción podrían desenterrarse bombas sin explotar de la Segunda Guerra Mundial.
Al final, no hubo incidentes, pero se establecieron procedimientos como medida de precaución y todos tuvimos que practicar cómo entrar en las zonas seguras designadas dentro de nuestro edificio.
La historia de PHP se siente como el equivalente cibernético de una bomba sin explotar: nunca había visto una respuesta tan dramática, pública y global a un incidente cibernético que aún no ha ocurrido.
No ha habido ningún ataque tan devastador como el ransomware que afectó gravemente a las empresas M&S y JLR en 2025.
Pero la amenaza potencial es tan grave que, como medida de precaución, se han desactivaron sitios web de todo el mundo.
Hace menos de dos meses, 100 empresas tecnológicas escribieron una carta abierta advirtiendo al mundo sobre la necesidad de adoptar un nuevo nivel de ciberresiliencia en la era de la IA.
Resulta que no tuvimos que esperar mucho para descubrir qué querían decir.
Las debilidades encontradas en el lenguaje de programación PHP, utilizado por millones de sitios web, permanecieron latentes durante años y no son fáciles de explotar.
Un investigador de ciberseguridad me comentó que pasó toda una noche intentando hacerlo a modo de experimento, pero que le estaba resultando muy difícil.
Sin embargo, las cosas que resultan muy difíciles para los humanos cada vez suponen menos problema para la IA.
La tecnología está recibiendo mucho reconocimiento por ayudar a los investigadores a encontrar los errores, y la fundación PHP, que supervisa el lenguaje de programación, se puso manos a la obra y publicó una solución.
“Un verdadero dilema”
Se suponía que debía mantenerse en secreto hasta que todos tuvieran la oportunidad de arreglar sus sitios web, pero la noticia se filtró.
A partir de ese momento, el tiempo empezó a correr.
Mientras escribo esto, no hay informes de que alguien o algo haya logrado utilizar las vulnerabilidades para atacar un sitio web.
“Existe un verdadero dilema”, señaló el profesor Alan Woodward de la Universidad de Surrey, Reino Unido.
“¿Cómo se puede alertar a la gente de que debe estar preparada, además, de que se necesita una actualización con urgencia, sin alertar a los atacantes?”, plantea.
Fuente de la imagen, Reuters
“Básicamente, estás informando a todo el mundo sobre el problema al mismo tiempo, y esperando que los defensores no estén lo suficientemente despiertos como para actuar en cuanto salga el parche que repara la falla”.
Pero sabemos, gracias a grandes empresas de internet como Cloudflare y Palo Alto Networks, que se han realizado millones de intentos.
Probablemente no sabremos hasta dentro de un tiempo si ha funcionado con algún delincuente, porque es posible que las empresas afectadas tampoco lo sepan todavía.
Hasta donde sabemos, la bomba sin explotar permanece intacta por ahora, y para algunos expertos esto es un éxito.
Gina Neff, profesora de IA responsable en la Universidad Queen Mary, describió esto como una buena noticia.
“Hemos visto cómo un equipo de personas, con el apoyo de la gran empresa de IA, ha utilizado la inteligencia artificial para encontrar el problema, trabajar juntos durante meses para resolverlo y preparar a todos para que estén seguros”, dijo en el programa Today de BBC Radio 4.
“Tenemos una enorme capacidad para gestionar estos riesgos”.
Pero los ciberdelincuentes también pueden usar la IA, y esas mismas herramientas probablemente estén funcionando ahora mismo para tratar de infiltrarse.
Las autoridades de ciberseguridad advierten a los propietarios de sitios web que solucionen las vulnerabilidades de inmediato, pero el parche solo funciona en la última versión de PHP, por lo que los sitios más antiguos deberán actualizarse primero.
Para muchos puede tratarse de una reparación importante, así que si conoces a algún desarrollador web, quizás quieras enviarle tus mejores deseos, oraciones y tal vez un buen café.
Este artículo fue escrito originalmente en inglés y usamos una herramienta de inteligencia artificial para traducirlo. Un periodista de la BBC revisó el texto antes de su publicación. Más información sobre cómo usamos IA.
