El 21 de octubre de 2026 se convirtió en una fecha crítica para la seguridad de internet. Ese día se hicieron públicas dos vulnerabilidades graves en PHP —el lenguaje de programación que sostiene cerca del 70 % de los sitios web del planeta— conocidas colectivamente como PHP2Shell.

Estas fallas (CVE-2026-109618 y CVE-2026-109619) permiten a un atacante ejecutar código de forma remota en el servidor sin necesidad de autenticarse. El problema no está en una aplicación concreta, sino en el propio motor de PHP, por lo que afecta a millones de páginas, desde WordPress y Drupal hasta sitios corporativos y gubernamentales.

Lo más llamativo es que fueron descubiertas gracias a la inteligencia artificial. Investigadores de Calif y Wiz, con apoyo de modelos de OpenAI, identificaron estos errores de memoria que llevaban años ocultos. La IA se convirtió, de esta forma, en una aliada clave para detectar amenazas antes de que se generalizaran.

La Fundación PHP publicó de urgencia los parches en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las autoridades y expertos coinciden: la única solución realmente efectiva es actualizar de inmediato. Mientras tanto, se registraron millones de intentos de explotación en las horas posteriores a la divulgación, y hay indicios de que algunos atacantes ya estaban probando las fallas días antes.

Estas “puertas abiertas” que estaban allí, y que seguramente miles de actores maliciosos intentaron aprovechar, muestran tanto el riesgo de un internet dependiente de lenguajes antiguos como la esperanza de que la inteligencia artificial ayude a cerrar esas brechas a tiempo.