OpenAI destapa un fallo de PHP con 20 años: la IA convierte errores antiguos en riesgos masivos

OpenAI ha identificado una vulnerabilidad de seguridad en PHP, el lenguaje de programación en el que se basa buena parte de la web, según la nota breve de un vídeo que recoge la noticia. La fuente afirma que el fallo afectaba hasta al 70% de los sitios web. También sostiene que existía desde hacía 20 años y que se ha vuelto explotable de forma masiva porque los sistemas de IA ya pueden ejecutar cadenas de ataque complejas. Una cadena de ataque combina varios pasos o fallos menores para llegar a un compromiso serio.

El material disponible es escaso. No incluye el identificador técnico del fallo (CVE), las versiones afectadas, el estado del parche ni el método que siguió OpenAI. Por eso, la cifra del 70% debe leerse como un dato atribuido a la fuente y no como una medición verificada. Además, no queda claro si se refiere a los sitios que usan PHP o a los que eran realmente vulnerables.

Nuestra lectura: el ángulo importante es el cambio de escala, no el hallazgo concreto. Un error que pasó inadvertido durante dos décadas no era seguro, solo resultaba demasiado caro de explotar. La IA abarata ese coste en las dos direcciones. Si un modelo puede encadenar ataques, la deuda de seguridad acumulada en el software heredado deja de estar dormida. Esto encaja con nuestra tesis sobre el uso dual: el riesgo real es de corto plazo y consiste en industrializar ataques conocidos, no en una superinteligencia lejana.

También hay una lectura optimista, aunque con matices. La misma capacidad que agrava el riesgo permite encontrar el fallo antes que un atacante y avisar para corregirlo. Si laboratorios como OpenAI aplican sus modelos a auditar de forma sistemática la infraestructura abierta de la que depende internet, el saldo a largo plazo puede ser una web más robusta. La condición es que la divulgación sea responsable y los parches lleguen antes que los exploits. Sin detalles técnicos verificables, por ahora esto es una señal de hacia dónde va la seguridad y no una prueba cerrada.