Dos fallos permanecieron casi inadvertidos en el código de PHP durante unos veinte años. No los encontró un equipo de ingenieros de seguridad, sino una IA — en realidad dos, trabajando por separado. Wiz, la empresa de ciberseguridad propiedad de Google, apuntó su propio agente de IA al código fuente de PHP. Por su lado, una firma llamada Calif obtuvo un resultado casi idéntico usando el modelo GPT-5.6 de OpenAI, apodado Sol. Ambas llegaron al mismo fallo, ahora conocido como PHP2Shell y registrado como CVE-2026-109618 y CVE-2026-109619.
En términos simples, el fallo permite ejecutar código de forma remota en un servidor ajeno sin contraseña ni usuario: un control total del sitio. PHP es el lenguaje detrás de aproximadamente siete de cada diez sitios web identificables, incluido WordPress y miles de portales gubernamentales. La propia Wiz calificó el hallazgo como «una de las vulnerabilidades más graves jamás encontradas en PHP, y posiblemente en la historia del software».
Wiz halló el primer fallo el 19 de agosto y lo reportó al equipo de PHP cinco días después. Los desarrolladores prepararon en silencio una solución coordinada junto con Cloudflare, AWS, Microsoft, Google Cloud, Automattic (propietaria de WordPress.com), Fastly, Akamai, Imperva y Vercel, una lista que deja claro cuánta parte de internet dependía de este parche. La divulgación pública estaba prevista para el 22 de octubre, pero los detalles se filtraron el día 20, obligando a adelantar el lanzamiento: PHP publicó las correcciones el 21 de octubre a las 14:00 UTC para las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, con parches retroactivos para 8.1, 8.0 y 7.4.
Mientras se distribuían los parches, varios gobiernos apagaron por precaución parte de sus servicios. En los Países Bajos cayeron el portal Overheid.nl, el sitio de la federación de fútbol KNVB, páginas de los principales partidos y varios hospitales. Finlandia, a través de Valtori, desconectó la red estatal; Francia puso en mantenimiento preventivo los sitios del Ministerio del Interior; en Dinamarca se apagó la plataforma escolar Kombit, y en Japón, Sakura Internet desactivó parte de sus funciones de base de datos. La NSA estadounidense emitió una advertencia pública poco habitual, y Wikipedia detuvo temporalmente parte de sus sistemas.
Lo llamativo no es solo el fallo, sino quién lo encontró. Dos empresas, dos IA distintas, el mismo hallazgo, meses antes de que lo reportara cualquier humano. Los expertos en seguridad ya lo dicen sin rodeos: si la IA aprendió a desenterrar agujeros de veinte años en un código en el que confía todo internet, esas mismas herramientas acabarán también en manos de los atacantes, y entonces el margen se medirá en horas, no en meses.
