¿Qué es PHP y por qué un fallo descubierto por la IA ha desatado una alerta mundial en internet?

(🇺🇸 Read the English version of this article here)

El susto silencioso que casi nadie ha sabido explicar

En los últimos días, las principales agencias de seguridad digital de Estados Unidos y Europa han lanzado una alerta de máxima gravedad. En países como Francia o los Países Bajos, varios organismos públicos, universidades y servicios ciudadanos llegaron a apagar temporalmente sus páginas web por precaución.

Los telediarios y la prensa económica hablaban de una alarma global provocada por algo llamado "PHP", de una vulnerabilidad crítica bautizada como PHP2Shell y de cómo varios modelos de inteligencia artificial habían destapado el problema.

Pero si abres la mayoría de artículos en internet, te encuentras con una muralla de tecnicismos incomprensibles: que si desbordamientos de memoria, que si punteros de C o corrupción en el stack. Si no eres programador, todo suena a chino mandarín.

Sin embargo, este suceso nos afecta a todos los que usamos internet a diario: desde el autónomo que tiene una tienda online hasta el directivo que gestiona una empresa o el usuario que consulta su cuenta bancaria.

Vamos a traducir qué ha pasado realmente, sin jerga de friki informático y con la realidad sobre la mesa.

¿Qué demonios es PHP? El motor invisible detrás del mostrador

Para entender la dimensión del problema, primero hay que entender qué es PHP con una analogía sencilla del mundo real: el restaurante.

Cuando entras en una página web bonita desde tu móvil —ya sea para comprar unas zapatillas, reservar un billete de avión o mirar el saldo de tu cuenta—, lo que ves en tu pantalla es solo el comedor del restaurante: las mesas decoradas, la carta con los precios y los colores de la marca. Eso en informática se llama Front-end.

Pero en el instante en que pulsas un botón como "Iniciar sesión", "Comprar ahora" o rellenas un formulario con tus datos personales, esa pantalla bonita no puede hacer el trabajo sola. No tiene la comida ni el dinero.

En ese milisegundo exacto, alguien tiene que correr a la cocina, abrir la despensa, comprobar si queda stock en el almacén, descontar el dinero de tu tarjeta bancaria, empaquetar el pedido y volver al comedor para mostrarte un mensaje que diga "Compra realizada con éxito".

Ese cocinero y dependiente invisible que trabaja detrás del mostrador se llama PHP.

Nació hace treinta años, a mediados de la década de 1990, y se convirtió en los cimientos sobre los que se construyó internet.

El dato que pone los pelos de punta: según las mediciones globales de W3Techs, aproximadamente el 70% de todas las páginas web del mundo funcionan con PHP. Desde el gigante WordPress (que mueve casi la mitad de los sitios web del planeta) y la Wikipedia, hasta la tienda de la panadería de tu barrio, los sistemas de reservas de hoteles y las plataformas de bancos y ministerios.

La llave maestra que llevaba 12 años escondida

¿Qué es lo que ha ocurrido esta semana con la Inteligencia Artificial?

Un grupo de investigadores de ciberseguridad de empresas como Wiz y Calif, en colaboración con la iniciativa Patch the Planet de OpenAI, decidieron hacer un experimento: pusieron a sus modelos de inteligencia artificial más potentes (como GPT-5.6 y Gemini 4) a revisar minuciosamente todo el código interno con el que está fabricado PHP.

En cuestión de pocos días, la máquina encontró algo que ningún ser humano había visto en más de 12 años: un fallo de diseño garrafal al que han llamado PHP2Shell (registrado oficialmente bajo los códigos CVE-2026-109618 y CVE-2026-109619).

Para entender el fallo, imagina un gran edificio de oficinas con guardias de seguridad, alarmas y cámaras blindadas en la entrada principal. Todo parece inexpugnable.

Pero en el sótano, al lado de la caldera, los obreros que construyeron el edificio en 2012 dejaron una pequeña trampilla de ventilación. Si alguien empuja la trampilla con una fuerza concreta, se abre sin hacer ruido. Y lo peor de todo: quien cruza esa trampilla no se queda encerrado en el sótano, sino que obtiene al instante la llave maestra de todo el edificio.

Puede entrar en los despachos de dirección, abrir las cajas fuertes, leer las nóminas de los empleados, cambiar las contraseñas de las puertas y expulsar a los verdaderos dueños a la calle.

En el mundo de los servidores, esto se llama Ejecución Remota de Código (RCE): significa que un ciberdelincuente situado en la otra punta del planeta puede tomar el control absoluto del ordenador donde vive tu página web sin necesidad de saber tu contraseña, sin pedir permiso y sin que te enteres.

💡 ¿Eres programador, arquitecto de software o ingeniero de sistemas?

Si lo que buscas es el desglose técnico a fondo con la explicación matemática de la memoria en C, la trampa de la llamada longjmp(), la corrupción del heap y los vectores de ataque, hemos publicado un análisis técnico exhaustivo en nuestro artículo avanzado sobre la anatomía de PHP2Shell.

¿Por qué no se arregla pulsando un botón? El drama del software viejo

La pregunta lógica que se hace cualquier persona con sentido común es: «Si los creadores de PHP ya han publicado una actualización que tapa la trampilla, ¿por qué ha habido tanto pánico internacional?»

Porque en el mundo de los servidores empresariales, actualizar no es tan sencillo como darle a "Actualizar WhatsApp" en tu teléfono móvil.

Aquí está el verdadero drama que nadie cuenta en las noticias: más del 40% de los servidores del mundo funcionan con versiones de PHP antiguas que ya están descatalogadas (como PHP 7.4 u 8.0). Son motores viejos que llevan años sin recibir soporte oficial.

Para una empresa mediana, un hospital o una tienda online que factura millones, cambiar de golpe el motor de su web por uno moderno no se hace en una tarde:

• Puede hacer que deje de funcionar la pasarela de pagos con el banco.
• Puede hacer que el programa de facturación o el catálogo de productos se rompa por completo.
• Puede exigir semanas de trabajo de informáticos reprogramando partes enteras de la web.

Actualizar el motor de una web en producción es como intentar cambiarle el motor a un camión a 120 km/h por la autopista sin frenar.

Por eso muchos organismos prefirieron directamente desconectar sus páginas web de internet durante varias horas: sabían que era más seguro bajar la persiana temporalmente que arriesgarse a que un pirata informático utilizase la llave maestra para vaciarles las bases de datos.

La navaja de doble filo: lo que el optimismo ciego de LinkedIn no te cuenta

En las redes sociales profesionales, los portavoces de las grandes tecnológicas están celebrando esto como una victoria heroica: nos dicen que la Inteligencia Artificial ha "salvado al mundo" porque encontró el fallo antes de que los criminales lo usaran para un ataque masivo.

Es un relato muy bonito, pero peligroso por ingenuo.

Hazte esta pregunta con total frialdad: si unas cuantas empresas han tardado tres días en encontrar una llave maestra oculta durante doce años usando IA... ¿qué te hace pensar que las mafias de cibercrimen organizado o los servicios de espionaje de potencias rivales no tienen exactamente la misma tecnología?

La inteligencia artificial no tiene moral. Es una herramienta de cálculo brutal. El mismo modelo que puede ayudarte a encontrar una cerradura rota para repararla es el que puede usar un delincuente para encontrar cerraduras rotas en todos los hospitales, bancos y ayuntamientos del planeta.

La época en la que una empresa podía crear una página web, olvidarse de ella durante diez años y pensar que estaba a salvo "porque nunca nos ha pasado nada" se ha terminado definitivamente. La IA no se cansa, no duerme y está examinando cada rincón del software que sostiene la economía mundial.

Lo que deberías hacer hoy si tienes una empresa o gestionas proyectos

No hace falta que aprendas a programar para proteger tu negocio, pero sí necesitas actuar con pragmatismo. Esta es la lista de tareas obligatoria:

1. Haz una sola pregunta a tu equipo técnico o a tu agencia web: No les pidas explicaciones complejas; pregúntales directamente: «¿Qué versión de PHP está utilizando nuestra web y nuestros servidores, y estamos protegidos contra el fallo de PHP2Shell?». Si te dicen que usan una versión moderna parcheada (8.2.35, 8.3.36, 8.4.27 u 8.5.12), puedes respirar tranquilo. Si te dicen que usan PHP 7.4 u 8.0, tienes una bomba de relojería en la oficina.
2. Asume que el software viejo ya no es gratis: Mantener una web antigua "porque todavía funciona" parecía una forma genial de ahorrar dinero. Hoy es la forma más rápida de que te secuestren la base de datos de clientes y te pidan un rescate millonario. La deuda técnica ahora se paga al contado.
3. Pide copias de seguridad desconectadas de internet: Si alguna vez alguien entra por una puerta trasera, la única salvación de tu empresa es tener copias de seguridad guardadas en un disco duro o en un servicio aislado que nadie pueda borrar desde fuera.

Detrás del telón digital nunca hubo magia ni infalibilidad. Había un motor de hace treinta años que mueve el 70% del mundo, una trampilla olvidada en el sótano y una máquina que acaba de aprender a abrir todas las puertas.

Referencias y páginas consultadas

1. OpenAI — Iniciativa "Patch the Planet": Patch the Planet: AI-Driven Vulnerability Discovery in Critical Infrastructure — Informe oficial sobre cómo la IA analizó el código abierto para anticiparse a ciberataques.
2. Portal Oficial PHP2Shell: PHP2Shell Technical Disclosure & Security Advisories — Publicación y análisis de los fallos de seguridad críticos CVE-2026-109618 y CVE-2026-109619.
3. W3Techs — Encuestas de Tecnología Web: Uso y cuota de mercado de PHP en sitios web de todo el mundo — Datos estadísticos que certifican que el 70% de la web opera sobre PHP.
4. Wiz Cybersecurity Research: Wiz Atlas & Frontier AI Models in Open Source Code Audits — Investigación sobre el hallazgo automatizado de vulnerabilidades en runtimes de servidor.
5. Calif Security Advisory: Calif Vulnerability Report on PHP Runtime Memory — Informe técnico de la firma que detectó el fallo en las rutinas internas de PHP.
6. The PHP Foundation: Anuncios oficiales de versiones de seguridad de PHP — Comunicado oficial con los parches de emergencia para las ramas 8.2, 8.3, 8.4 y 8.5.
7. NIST — National Vulnerability Database: Ficha oficial de CVE-2026-109618 — Registro del gobierno de Estados Unidos catalogando la gravedad del fallo como Crítica (9.2).
8. CISA (Agencia de Ciberseguridad de EE. UU.): Alertas de seguridad y mitigación urgente para servidores web — Directivas operativas emitidas tras la divulgación del fallo.

Crédito de imagen: Syncroma Studio. Fotografía conceptual analógica: una llave maestra de bronce sobre un cuaderno de notas técnico junto a la ventana, simbolizando cómo una IA encontró la cerradura oculta que abre el 70% de internet.