Una vulnerabilidad en el lenguaje de programación PHP, utilizado por millones de sitios web en todo el mundo, ha desatado una respuesta tan dramática, pública y global que los expertos la comparan con una bomba sin explotar de la Segunda Guerra Mundial. A diferencia de un ciberataque ya consumado, como el ransomware que afectó gravemente a las empresas M&S y JLR en 2025, esta amenaza es potencial —pero tan grave que como medida de precaución se desactivaron sitios web de todo el planeta.

Hace menos de dos meses, 100 empresas tecnológicas escribieron una carta abierta advirtiendo sobre la necesidad de adoptar un nuevo nivel de ciberresiliencia en la era de la inteligencia artificial. Resulta que no tuvimos que esperar mucho para descubrir qué querían decir.

Las debilidades encontradas en PHP permanecieron latentes durante años y no son fáciles de explotar por un ser humano. Un investigador de ciberseguridad confesó que pasó toda una noche intentando hacerlo a modo de experimento, pero que le resultaba muy difícil. El problema es que las cosas que resultan muy difíciles para las personas cada vez suponen menos problema para la IA.

La tecnología fue la que detectó el error. Con el apoyo de grandes empresas de inteligencia artificial, el equipo de investigadores encontró la falla, trabajó durante meses para resolverla y preparó a todos los sitios web para que estuvieran seguros. La fundación PHP, que supervisa el lenguaje de programación, se puso manos a la obra y publicó una solución.

Se suponía que debía mantenerse en secreto hasta que todos tuvieran la oportunidad de arreglar sus sitios web. Pero la noticia se filtró. A partir de ese momento, el tiempo empezó a correr.

"Existe un verdadero dilema", señaló el profesor Alan Woodward de la Universidad de Surrey, Reino Unido.

"¿Cómo se puede alertar a la gente de que debe estar preparada y, además, de que se necesita una actualización con urgencia, sin alertar a los atactantes?", planteó. "Básicamente, estás informando a todo el mundo sobre el problema al mismo tiempo, y esperando que los defensores no estén lo suficientemente despiertos como para actuar en cuanto salga el parche que repara la falla".

Mientras tanto, gracias a compañías de ciberseguridad como Cloudflare y Palo Alto Networks, se han registrado millones de intentos de explotación. Probablemente no se sabrá hasta dentro de un tiempo si alguno ha funcionado, porque es posible que las empresas afectadas tampoco lo sepan todavía. Hasta donde se tiene constancia, la bomba sin explotar permanece intacta por ahora.

La profesora Gina Neff, de la Universidad Queen Mary, describió esto como una buena noticia.

"Hemos visto cómo un equipo de personas, con el apoyo de la gran empresa de IA, ha utilizado la inteligencia artificial para encontrar el problema, trabajar juntos durante meses para resolverlo y preparar a todos para que estén seguros", dijo. "Tenemos una enorme capacidad para gestionar estos riesgos".

Pero los ciberdelincuentes también pueden usar la IA. Y esas mismas herramientas probablemente estén funcionando ahora mismo para tratar de infiltrarse en los millones de sitios que aún no se han actualizado.

Las autoridades de ciberseguridad advierten a los propietarios de sitios web que solucionen las vulnerabilidades de inmediato. El problema es que el parche solo funciona en la última versión de PHP, por lo que los sitios más antiguos deberán actualizarse primero. Para muchos puede tratarse de una reparación importante.

Si conoces a algún desarrollador web, quizás quieras enviarle tus mejores deseos, oraciones y tal vez un buen café. No se lo van a tener que rogar.