✨︎ Resumen (TL;DR):
- La investigación asistida por IA llevó más reportes a la PHP Foundation, pero las personas todavía deben validarlos y decidir cada corrección.
- Desde el 1 de julio de 2026, la fundación publicó 15 identificadores de vulnerabilidad y revisó más de 100 reportes inválidos, duplicados o imposibles de reproducir.
- El proyecto PHP publicó actualizaciones para PHP2Shell el 21 de octubre; CISA incorporó ambas fallas a su catálogo de vulnerabilidades explotadas el 26 de octubre.
La IA está acelerando la búsqueda de vulnerabilidades y elevando el volumen de trabajo para la PHP Foundation y los equipos que responden a incidentes: deben comprobar los reportes, separar las amenazas reales y corregir los sistemas. En PHP, el proyecto publicó actualizaciones para las dos fallas PHP2Shell el 21 de octubre de 2026; la agencia estadounidense CISA las incorporó a su catálogo de vulnerabilidades explotadas el 26 de octubre. El volumen no convierte automáticamente cada alerta en una intrusión confirmada.
PHP2Shell es un conjunto de dos vulnerabilidades del lenguaje PHP que, bajo ciertas condiciones, permite ejecutar código en servidores vulnerables sin autenticación. Numerosos sitios y aplicaciones web usan PHP.
Más reportes no significa más fallas válidas
El 21 de octubre de 2026, la PHP Foundation explicó que el aumento de la investigación asistida por IA había llevado más reportes a su equipo de seguridad. Desde el 1 de julio, el equipo había publicado 15 identificadores de vulnerabilidad y revisado más de 100 reportes que resultaron inválidos, duplicados o imposibles de reproducir.
La fundación no desglosó cuántos reportes provenían de herramientas de IA. Revisarlos consume tiempo aunque no terminen en una alerta: una persona debe comprobar qué ocurre y decidir si el problema requiere una corrección.
El equipo también utiliza IA para validar reportes y agrupar los que parecen tener la misma causa. Las decisiones y el trabajo de cada parche siguen involucrando a personas.
PHP2Shell sí llegó a explotarse
Las dos fallas conocidas como PHP2Shell afectan al lenguaje PHP. Bajo ciertas condiciones, permiten ejecutar código en servidores vulnerables sin autenticación. El proyecto PHP publicó actualizaciones el 21 de octubre para corregirlas.
Wiz afirmó que sus investigadores utilizaron modelos de IA en el descubrimiento y análisis de las vulnerabilidades. La PHP Foundation también explicó que uno de sus desarrolladores ya había detectado en 2024 señales del problema detrás de una de las fallas. Los reportes de investigadores en 2026 ayudaron a aclarar su impacto.
El Centro Canadiense de Ciberseguridad informó que la agencia estadounidense CISA incorporó ambas fallas a su catálogo de vulnerabilidades explotadas el 26 de octubre. Esa inclusión indica que existe evidencia de explotación, pero no especifica por sí sola cuántos sistemas quedaron comprometidos ni demuestra que la IA se usara en cada ataque.
Una oleada de intentos no prueba una intrusión
Microsoft aportó otro caso, independiente de PHP. La empresa atribuyó al grupo identificado como Storm-0940 el uso de agentes de IA en ataques contra organizaciones.
Entre el 10 y el 14 de octubre, Microsoft registró más de 151,000 intentos fallidos de inicio de sesión contra 327 cuentas de ocho organizaciones. En ese conjunto concreto no observó ninguna autenticación exitosa.
La misma investigación describió accesos posteriores a entornos de clientes mediante aplicaciones de un proveedor de respaldo comprometido. Microsoft advirtió que encontrar una aplicación afectada o un inicio de sesión exitoso no demuestra, por sí solo, que alguien haya consultado o extraído datos.
La validación se come el tiempo de respuesta
Axios publicó el 30 de octubre un reportaje sobre equipos que investigan incidentes. Troy Bettencourt, responsable de respuesta a incidentes y análisis forense digital en Palo Alto Networks, dijo al medio que la demanda de los servicios de su equipo había registrado un aumento de dos dígitos durante las seis semanas anteriores.
Bettencourt señaló que algunas investigaciones que antes podía atender un consultor ahora requieren equipos de cinco a 20 personas.
Por su parte, Samantha Lewis, responsable de inteligencia de amenazas en Armadin, contó a Axios que su equipo había dedicado días a revisar cientos de supuestas pruebas de explotación. Muchas no funcionaban.
Estas son experiencias de equipos concretos, no una medición del impacto total de la IA en la industria. La respuesta no termina al recibir una alerta: también exige comprobarla, determinar qué sistemas están expuestos y aplicar la corrección adecuada.
Para quienes administran PHP, el Centro Canadiense de Ciberseguridad recomienda identificar las instalaciones afectadas y actualizarlas. La tarea pendiente no es solo encontrar la falla, sino confirmar cuál existe y corregir el sistema expuesto.
