Ha saltado la alarma tras salir a la luz un par de fallos de seguridad muy graves que afectaban al corazón del lenguaje PHP, una tecnología que sostiene en torno al 70% de las páginas web de todo el mundo (incluyendo plataformas como WordPress o Drupal). Lo verdaderamente llamativo no es solo el fallo en sí, sino cómo se ha encontrado: investigadores de seguridad han utilizado modelos avanzados de Inteligencia Artificial (como herramientas de OpenAI o Google) para auditar el código fuente del lenguaje, descubriendo agujeros que llevaban más de una década ahí guardados sin que nadie se percatase de su gravedad.

Noticia relacionada Andalucía sitúa a la Inteligencia Artificial como clave para eliminar burocracia y abrir mercado

El problema radicaba en un código de gestión de memoria antiguo, escrito hace años y considerado durante mucho tiempo como «seguro» o difícil de explotar. Sin embargo, la capacidad de la IA para analizar grandes volúmenes de código e identificar patrones complejos ha dejado al descubierto que un atacante podía forzar un error de memoria enviando una petición web común y corriente. En la práctica, esto permitía tomar el control del servidor sin necesidad de contraseñas ni permisos previos, demostrando que código heredado que llevábamos lustros dando por bueno no lo era tanto.

Podría suponer un daño masivo

Este problema afectaría directamente a cualquier servidor web que ejecute versiones no parcheadas de PHP. Es decir desde pequeños blogs personales hasta grandes infraestructuras corporativas. La alerta inicial salta porque equipos de ciberseguridad, como el de Amazon (Amazon Threat Intelligence), detectaron intentos de ataque dirigidos a este fallo incluso días antes de que la vulnerabilidad se hiciese pública de forma oficial. 

En la práctica, esto permitía tomar el control del servidor sin necesidad de contraseñas ni permisos previos, demostrando que código heredado que llevábamos lustros dando por bueno no lo era tanto

Afortunadamente, el descubrimiento se gestionó mediante lo que se conoce como divulgación coordinada. Las empresas que descubrieron el fallo avisaron con antelación a los desarrolladores principales de PHP, permitiendo que se preparasen y publicasen parches de emergencia antes de detallar públicamente cómo funcionaba el ataque. 

Este suceso muestra la cara y la cruz de la IA en ciberseguridad: por un lado, sirve como una lupa capaz de auditarnos y sacar las vergüenzas de código antiguo; por otro, obliga a los profesionales a reescribir y actualizar sistemas a toda prisa, porque si la IA puede encontrar la vulnerabilidad para solucionarla, los atacantes usarán esas mismas herramientas para intentar explotarla.