Por primera vez en la historia de internet, una crisis de seguridad a escala global fue descubierta, verificada y mitigada con inteligencia artificial. Se llama “PHP2Shell”: dos fallas críticas en PHP, el lenguaje detrás de cerca del 70% de los sitios web, que permanecieron escondidas más de una década hasta que los modelos GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google ayudaron a encontrarlas y convertirlas en un exploit funcional.
Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, tienen una severidad de 9.2 sobre 10: permitirían ejecutar código en un servidor sin iniciar sesión. La Fundación PHP publicó parches de emergencia el 21 de octubre de 2026 (versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35), un día antes de lo previsto, tras una filtración en un foro de hackers.
El episodio muestra las dos caras de la misma moneda. Del lado de la defensa, la IA acortó años de auditoría manual a horas de análisis y permitió avisar antes de que hubiera ataques confirmados. Del lado del ataque, esa misma capacidad permite a los hackers revertir el parche con poco esfuerzo y fabricar exploits a velocidad inédita: Cloudflare ya reportó millones de intentos de explotación.
Gobiernos europeos en Alemania, Francia y Finlandia bajaron sitios por prevención, y la NSA y el FBI de Estados Unidos pidieron parchear de inmediato o desconectar los servidores. La carrera ahora es entre quienes actualizan y quienes explotan, y el reloj corre para millones de páginas construidas con WordPress, Drupal y Joomla.
“PHP2Shell” no es solo una falla más: es la señal de que la seguridad de internet entró en una era en la que las máquinas encuentran las grietas antes que las personas, para bien y para mal.