Una falla masiva en PHP dejó a la ciberseguridad global en alerta

A veces uno un sistema tranquilo, apaga la computadora y piensa que el día está cerrado. Después aparece una alerta de seguridad y aparece una brecha que puede expose sitios, datos y servicios de todo el mundo. Esta vez, la noticia llegó con ese tipo de problema: fallas críticas en PHP, el lenguaje de programación que sostiene aproximadamente siete de cada diez sitios web.

El caso a la luz porque GPT-5.6, un modelo de OpenAI que ya no es su versión más reciente, participó en la identificación de las vulnerabilidades. Los agentes de inteligencia artificial pueden rastrear problemas en sistemas informáticos con una velocidad muy superior a la de los equipos humanos. No estamos hablando de una magia reluctant: el material revela un uso concreto para encontrar fallas antes de que alguien las aproveche.

Qué estaba en riesgo

Una vulnerabilidad es una brecha que puede permitir el ingreso a un sistema, la extracción o modificación de datos privados y el acceso a infraestructura crítica. El riesgo no se limitaba a grandes plataformas: también alcanzaba municipios, gobiernos provinciales, pequeñas empresas y enciclopedias colaborativas. Es decir, el problema podía tocar desde un sistema con beaucoup recursos hasta un servidor guardado, casi por olvido, en una esquina.

OpenAI coordinó con investigadores y con el equipo responsable de PHP una iniciativa llamada Emparchar al Planeta. Los desarrolladores publicaron actualizaciones de seguridad y técnicos de todo el mundo salieron a instalarlas en los servidores afectados. Según quienes participaron, la campaña fue una de las respuestas más grandes y rápidas de la historia reciente de la ciberseguridad.

• Estados Unidos, Reino Unido, Japón y varios países europeos publicaron alertas oficiales entre el martes y el miércoles.
• Algunos gobiernos suspendieron temporalmente servicios mientras completaban las actualizaciones.
• En Argentina, el Centro Nacional de Ciberseguridad no publicó advertencias ni un lineamiento general para todos los sistemas afectados.

El contraste entre la reacción internacional y la situación local es bastante último. Fuentes gubernamentales reconocieron que en Argentina algunas entidades actuaron por decisión propia de sus equipos técnicos, pero no existe garantía de que todos los sistemas vulnerables hayan quedado protegidos. El sitio del Centro Nacional de Ciberseguridad figura en construcción desde su lanzamiento, en mayo de 2025, y sus dos principales autoridades renunciaron en medio de la crisis.

El problema de fondo no es solamente qué modelo de inteligencia artificial encontró las fallas. Es que la coordinación, la comunicación y la aplicación de parches también tienen que funcionar. Una IA puede rastrear una brecha a una velocidad insana; si nadie instala la corrección o no avisa a quien debe instalarla, la brecha sigue abierta. Como cuando uno limpia la mesada y después deja el repasador tirado en el piso.

“No alcanza con que la inteligencia artificial detecte una vulnerabilidad: la seguridad termina cuando las actualizaciones se instalan a tiempo y todos los responsables saben qué deben hacer.”Federico Maza

Mi consejo, sin vueltas: revisen si sus sitios y servidores usan PHP, comprueben las versiones y apliquen las actualizaciones de seguridad publicadas por los responsables del lenguaje. No esperen a que una alarma en producción. En ciberseguridad, como en la cocina, una olla sin cubrir puede derramarse justo cuando nadie la está mirando.