OpenAI encuentra un fallo en PHP de hace 20 años: la IA ya convierte errores olvidados en riesgo real

OpenAI ha identificado una vulnerabilidad de seguridad en PHP, el lenguaje de programación con el que funciona buena parte de la web. Así lo recoge una nota breve procedente de un vídeo corto. Según esa fuente, el fallo existía desde hace unos 20 años y afectaría hasta al 70% de los sitios web. Conviene leer esa cifra como el alcance potencial que da la propia nota, no como el número de webs comprometidas. No disponemos del artículo completo. Por eso desconocemos el identificador técnico del fallo, si ya existe parche y cuántas instalaciones lo tienen aplicado.

El matiz importante de la nota es otro. La vulnerabilidad no es reciente. Según la fuente, se volvió «explotable masivamente» porque los modelos de IA ya pueden ejecutar cadenas de ataque complejas. Una cadena de ataque es una secuencia de pasos que hay que combinar para que un fallo pequeño acabe en una intrusión real. Durante dos décadas, esa complejidad funcionó como una barrera de facto. Ahora deja de serlo.

Nuestra tesis: la IA no está creando agujeros nuevos. Está abaratando la explotación de los antiguos. Es el patrón que venimos señalando en ciberseguridad. Lo que importa no es si un modelo saca una buena nota en benchmarks saturados. Importa si puede completar sin ayuda tareas propias de un experto. Esa capacidad sirve igual para defender que para atacar: es el problema del uso dual. Por eso debe tratarse como un riesgo que hay que gobernar, no como una exhibición técnica.

Nuestra lectura: que el hallazgo venga de un laboratorio y no de un atacante es la parte buena. Esta es la cara optimista del uso dual: auditar a escala código heredado que nadie revisaba. A corto plazo, sin embargo, el mensaje es incómodo. Cada fallo «latente» del software antiguo es ahora más barato de explotar. Además, la ventana entre que se descubre un fallo y alguien lo explota puede estrecharse. Los parches deben llegar antes, sobre todo a pymes y webs pequeñas que rara vez actualizan. A largo plazo, si la defensa automatizada escala tan rápido como el ataque, la web puede acabar más segura que nunca. Ese «si» depende de la gobernanza y de que se publique el fallo de forma responsable, no solo de la tecnología. Ampliaremos cuando haya más detalles técnicos verificables.