Publicado: octubre 23, 2026, 7:24 pm
La alerta por dos vulnerabilidades críticas en PHP ha llevado a varias instituciones europeas a desconectar preventivamente sus páginas web mientras revisaban sus sistemas y aplicaban las actualizaciones de seguridad. Los fallos podían permitir la ejecución remota de código en servidores vulnerables y su alcance potencial ha generado especial preocupación por la presencia de este lenguaje en buena parte de la infraestructura de internet.
Para Jaume Palau, CEO de cdmon, estos avisos forman parte de un fenómeno más amplio: la aparición, en un periodo muy corto, de vulnerabilidades graves en distintas herramientas y servicios. Su explicación apunta a la inteligencia artificial, aunque insiste en presentarla como una posibilidad: “Mi hipótesis, y quiero dejarla clara como hipótesis, es que tiene que ver con la IA. No porque la IA haya creado los fallos, sino porque ha abaratado muchísimo encontrarlos”.
La distinción es relevante. Palau no atribuye a la inteligencia artificial la creación de los errores de PHP, lo que plantea es que la creciente capacidad de los modelos para analizar código puede estar cambiando la velocidad a la que salen a la luz problemas que antes requerían mucho más tiempo y recursos para ser detectados.
La misma herramienta para los dos lados
Una de las claves es quién puede utilizarlas. Hay modelos de pesos abiertos que se pueden descargar y ejecutar en un ordenador propio, sin contratar un servicio. “Los puede usar un investigador, un desarrollador y también alguien con malas intenciones”, señala.
Eso facilita el trabajo a quienes buscan una forma de entrar en un sistema, pero también a quienes tienen que protegerlo. Y Palau cree que esa segunda parte está quedando en un segundo plano: “El mismo modelo que encuentra el fallo para explotarlo lo encuentra para arreglarlo”.
Para explicarlo, recurre a una conocida viñeta de xkcd. El dibujo muestra una enorme torre de piezas que depende de un pequeño componente mantenido desinteresadamente por una persona en Nebraska desde 2003. La imagen resume una realidad poco visible para quienes usamos internet: detrás de grandes plataformas y servicios puede haber pequeños proyectos de software libre con muy pocas personas y recursos para mantenerlos.
Revisar ese código cuesta tiempo y dinero. Por eso, Palau ve en la IA una oportunidad para llegar a programas que nunca han podido pagar una revisión a fondo. “Ese proyecto de Nebraska puede recibir por fin el informe de auditoría que nunca pudo pagar”, apunta.
Su lectura es positiva: “Es la mayor oportunidad de saneamiento del software libre que hemos tenido en mucho tiempo”. La posibilidad de encontrar errores antiguos también abre la puerta a corregirlos y reforzar las piezas de las que dependen muchos otros servicios.
El problema es llegar a tiempo
Pero descubrir un fallo es solo el principio. Después hay que comprobar a quién afecta, preparar una solución e instalarla. Y durante ese tiempo también puede haber alguien buscando cómo aprovecharlo. “Y el atacante tiene el mismo modelo que nosotros”, advierte Palau.
Un error puede llevar años en un programa sin que sus responsables sepan que está ahí. Si ahora resulta más fácil encontrarlo, también aumenta la urgencia de arreglarlo. “El volumen de parcheo se está multiplicando y los equipos de personas vamos a ser los mismos”, sostiene.
La alerta de PHP muestra esa presión: los responsables de los servicios tienen que revisar qué versiones utilizan, comprobar si están afectadas y actualizar. Algunos pueden hacerlo de inmediato; otros optan por desconectar temporalmente sus aplicaciones hasta poder corregirlas.
Palau prevé unos meses de adaptación. Su preocupación es que la capacidad para descubrir fallos avance más rápido que la capacidad de los equipos para responder. “El ritmo ya no es una cuestión de disciplina, es una cuestión de velocidad relativa”, resume.
¿La propuesta? Unirse a la inteligencia artificial: “Si no estás usando IA en tu trabajo diario, estás compitiendo con velocidad humana contra velocidad sintética. En mi experiencia la diferencia no es de un veinte por ciento, es de uno o dos órdenes de magnitud”.
“No hablo de sustituir el criterio de nadie. Hablo de que la parte mecánica del trabajo, la de inventariar, correlacionar, leer un diff, revisar una configuración o redactar el aviso al cliente, ya no debería costarte horas”, afirma.
Pero termina siendo optimista: “Los que no incorporen esto no van a quedar expuestos por falta de talento, van a quedar expuestos por falta de ritmo. La parte buena es que la misma herramienta que le nivela el terreno al atacante nos lo nivela a nosotros. Y llegamos antes si empezamos hoy”.
