Sitios web fuera de servicio en todo el mundo tras fallas de seguridad detectadas por IA

Agencias gubernamentales y empresas de todo el mundo cerraron sitios web el miércoles después de que salieran a la luz dos fallas críticas relacionadas con PHP, un lenguaje de programación que sirve de base para una gran parte de internet.

La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a organizaciones y empresas a aplicar parches informáticos de inmediato o desconectar los sistemas vulnerables.

Las fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor", señaló la NSA en un comunicado en X.

Los atacantes podrían utilizarlas para el control de servidores web sin una contraseña.

PHP sirve de base para populares plataformas de diseño web, por lo que las debilidades afectan potencialmente a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales.

Voluntarios del proyecto PHP publicaron una corrección el miércoles para subsanar el problema.

Actualizar de inmediato

"Si utiliza PHP, es imperativo actualizarlo de inmediato", señaló en una entrada de blog la PHP Foundation, que financia a los desarrolladores que trabajan en el lenguaje.

El ingeniero de seguridad en PHP Foundation Volker Dusch dijo al Wall Street Journal que estas fallas eran el problema más serio para PHP en más de una década, al compararlo con Heartbleed, un fallo de 2014 que desató una carrera mundial por aplicar parches.

Los errores fueron reportados en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que los señaló de forma independiente el mismo día.

Posteriormente, Wiz, una empresa de seguridad en la nube propiedad de Google, informó de más formas de explotarlas y estimó que PHP ejecuta alrededor del 70% de los sitios web mundiales.

En ese momento, las fallas se comunicaron en privado a los desarrolladores de PHP y se mantuvieron confidenciales mientras se preparaba una corrección.

OpenAI dijo en X que consideraba estos fallos como "una de las vulnerabilidades de mayor impacto" en tiempos recientes y que descubrirlas "marca una nueva fase en la que la IA puede encontrar errores de seguridad con impacto a escala de internet".

Con la tendencia actual, el número de vulnerabilidades detectadas en 2026 por modelos de IA podría duplicar el récord alcanzado el año pasado.

Frecuencia y rapidez

Ethan Mollick, del Wharton School de la Universidad de Pensilvania, dijo que las empresas pasan dificultades para mantener el ritmo de los parches necesarios contra ciberataques impulsados por IA.

"Ahora los consumidores van a tener la misma experiencia de recibir todo actualizado con frecuencia y rapidez", escribió en X.

Los detalles de las fallas de PHP se filtraron en línea el martes, un día antes del lanzamiento previsto del parche informático, lo que provocó una carrera contrarreloj para desconectar sitios.

En Francia, sitios web de administraciones locales, incluida la Prefectura de Policía de París, no están accesibles desde la tarde del miércoles a petición de la Agencia Nacional de Ciberseguridad francesa, tras la "detección de una vulnerabilidad crítica de seguridad", según informó el Ministerio del Interior.

En Países Bajos, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el del centro nacional de ciberseguridad se desconectaron como medida de precaución, de acuerdo con la radiodifusora pública neerlandesa NOS.

rrg