Alerta mundial: Sitios web quedaron fuera de servicio en todo el planeta tras fallas de seguridad detectadas por IA que provocaron la respuesta del FBI
Agencias gubernamentales y empresas de todo el mundo cerraron sus sitios web después de que fueran anunciadas dos fallas críticas relacionadas con PHP, un lenguaje de programación que sirve de base para una gran parte de internet.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a organizaciones y empresas a aplicar parches informáticos de inmediato o desconectar los sistemas vulnerables.
Las fallas "a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor", señaló la NSA en un comunicado en X.
Según expertos, esto permitiría a atacantes utilizarlas para el control de servidores web sin una contraseña.
PHP sirve de base para populares plataformas de diseño web, por lo que las debilidades afectan potencialmente a una amplísima gama de sitios, desde tiendas en línea y medios de noticias hasta servicios gubernamentales.
El problema fue de tal magnitud que la División de Ciberseguridad del FBI lanzó una advertencia en sus rede sociales:
"Se han identificado dos vulnerabilidades críticas en PHP, un lenguaje de programación ampliamente utilizado que impulsa sitios web y aplicaciones web. Estas vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) podrían permitir a actores cibernéticos maliciosos ejecutar código de forma remota en el núcleo de PHP, lo que potencialmente comprometería datos sensibles y redes", dijo la agencia gubernamental.
Asimismo, enumeró importantes pasos a seguir para evitar afectaciones mayores.
- Si una actualización inmediata no es factible, se recomienda que las organizaciones desconecten el sistema hasta que pueda mitigarse completamente.
- Actualice de inmediato las instalaciones de PHP afectadas siguiendo las indicaciones en http://php.net. Realice un inventario de dónde se ejecuta PHP en su entorno, priorizando sistemas expuestos a internet y productos de proveedores que incluyan PHP.
- Monitoree los servidores web en busca de actividad sospechosa, incluidos procesos de PHP que inicien inesperadamente shells de comandos o descarguen archivos. Asegúrese de que haya capacidades adecuadas de monitoreo de procesos para ayudar a identificar posibles explotaciones.
El ingeniero de seguridad en PHP Foundation Volker Dusch dijo al Wall Street Journal que estas fallas eran el problema más serio para PHP en más de una década, al compararlo con Heartbleed, un fallo de 2014 que desató una carrera mundial por aplicar parches.
Los errores fueron reportados en agosto por la firma de seguridad Calif y por OpenAI, creadora de ChatGPT, que los señaló de forma independiente el mismo día.
OpenAI dijo en X que consideraba estos fallos como "una de las vulnerabilidades de mayor impacto" en tiempos recientes y que descubrirlas "marca una nueva fase en la que la IA puede encontrar errores de seguridad con impacto a escala de internet".
Con la tendencia actual, el número de vulnerabilidades detectadas en 2026 por modelos de IA podría duplicar el récord alcanzado el año pasado.