Durante 10 años, una vulnerabilidad estuvo oculta en la mayoría de internet hasta que la IA mostró a los hackers cómo explotarla. El sitio web que almacena tus datos pudo haber tenido una puerta abierta durante una década, y la IA acaba de encontrar el tirador. Los atacantes no necesitan nombre de usuario ni contraseña, solo una solicitud cuidadosamente diseñada, y un servidor sin parchear les pertenece. La vulnerabilidad se llama "PHP2Shell". Se informa que los investigadores utilizaron un modelo avanzado de OpenAI para descubrir cómo explotarla, después de que había desconcertado a expertos durante años. Aquí está lo que significa en lenguaje sencillo, y qué hacer antes de que alguien la use contra ti. PHP es el motor que ejecuta silenciosamente sitios de WordPress, tiendas en línea, portales gubernamentales, páginas de pago y muchos sitios web de proyectos de criptomonedas. Alrededor de 7 de cada 10 sitios web donde se conoce el lenguaje del servidor funcionan con él. Las dos vulnerabilidades residen dentro del propio PHP, no en el sitio web construido encima. Un atacante envía la solicitud correcta y puede ejecutar sus propios comandos en el servidor. Desde allí pueden robar datos de clientes, instalar malware, desconectar el sitio o usar ese servidor como puerta de entrada a todo lo demás en la red. La parte de la IA es la historia real, y este es mi análisis: si la IA puede convertir errores antiguos en ataques funcionales, el tiempo entre el descubrimiento y el daño se ha acortado enormemente. Las autoridades lo están tratando así. Se informa que el FBI insta a los sitios que no pueden parchear a desconectarse, y una autoridad cibernética nacional dio a cada agencia gubernamental 7 días para solucionarlo e informar. Si solo navegas por la web, visitar un sitio PHP no significa que hayas sido hackeado. El verdadero riesgo es que tus datos personales estén en sitios que aún no han parcheado. Para los usuarios de criptomonedas, un sitio de proyecto secuestrado nunca necesita tocar directamente tu monedero. Solo necesita intercambiar un script, para que el botón "conectar monedero" que confías lleve a código diseñado para vaciarte. La solución ya existe. El Proyecto PHP ha lanzado versiones parcheadas: 8.2.35 8.3.36 8.4.27 8.5.12 Si administras un sitio web, aquí está la lista de verificación: 1. Encuentra todos los sitios y servidores que ejecutan PHP, incluidos los que tu proveedor o desarrollador gestiona por ti. 2. Actualiza PHP a una versión corregida y reinícialo. Las actualizaciones de temas o plugins por sí solas no sirven aquí. 3. Si no puedes parchear hoy, desconecta el sitio hasta que puedas. 4. Revisa los registros, cuentas de administrador desconocidas y archivos modificados en busca de señales de que alguien ya ingresó. 5. Obtén confirmación por escrito de tu proveedor o desarrollador de que el parche está activo. Ignora cualquier mensaje que ofrezca una "actualización de seguridad de PHP" o que solicite contraseñas y pagos. Los parches reales nunca llegan por mensajes privados. La IA acaba de acortar la brecha entre un error oculto y un ataque activo más de lo que la mayoría de las empresas tardan en parchear. Los que aún esperan ya están atrasados.