PHP, el motor de la web, se enfrenta a una crisis de recursos tras descubrirse dos vulnerabilidades críticas

La crisis de PHP, el lenguaje que alimenta el 70 % de las webs, se ha convertido en una carrera contrarreloj tras la detección de dos fallos críticos. La Fundación PHP, que mantiene el proyecto, cuenta con una sola empleada a tiempo completo y 14 contratistas, la mayoría a tiempo parcial, según la directora ejecutiva Elizabeth Barron.

Origen y detección de las vulnerabilidades

La primera vulnerabilidad fue identificada en 2024 durante una revisión de seguridad interna. En ese momento no se halló una vía de explotación y la corrección resultó compleja. En 2026, la situación cambió cuando la firma de ciberseguridad Calif informó al equipo el 11 agosto, OpenAI lo descubrió por su cuenta y Wiz lo comunicó el 24 agosto tras cinco días de investigación.

La carrera contrarreloj

El 20 octubre se filtraron los identificadores de los dos fallos y la fundación adelantó un día la publicación, como señala Simon Willinson. Un día después, el parche estuvo disponible. Cloudflare registró millones de intentos de ataque, según su CEO, pero la fundación no tiene evidencia de que alguien haya aprovechado las vulnerabilidades antes de su divulgación ni en webs ya parcheadas.

Intentos de explotación y detección

Amazon afirmó que sus sistemas señuelo detectaron un intento de ataque el 17 octubre procedente de una IP anonimizada. Se desconoce quién fue y cómo conocía el fallo, pero se trató de un señuelo y no de una web real.

Impacto en la infraestructura web

Los fallos afectan directamente a PHP y no a un plugin, lo que significa que cada servidor debe actualizar el lenguaje. Esta tarea es compleja porque se debe preservar la compatibilidad con aplicaciones y extensiones. El problema no se limita a internet en general, sino que también afecta a empresas e instituciones de todo tipo.

El papel de la inteligencia artificial

La directora ejecutiva explica que la IA es una herramienta de doble filo. Por un lado, ayuda al equipo de investigación a localizar fallos que existen desde hace una década y aumenta la eficiencia de la programación. Por otro, incrementa la carga de trabajo de las pocas personas con experiencia que revisan los cambios. El proyecto recibe casi el doble de propuestas de cambio de código que hace un año, pero el número de colaboradores no se ha duplicado.

En resumen, PHP sigue siendo el pilar de la web, pero su mantenimiento se enfrenta a una infraestructura precaria y a una falta de recursos que amenaza la seguridad de millones de sitios en todo el mundo.