Internet, como lo conocemos, está hecho de pegamento y sueños. Esta frase, acuñada por Sean O'Kane de TechCrunch, resonó con fuerza tras el episodio de las vulnerabilidades PHP2Shell que casi derribó la web esta semana. Pero la noticia más importante no es la existencia de dos fallos críticos — es que permanecieron ocultas durante décadas y solo fueron descubiertas gracias a un nuevo paradigma de cómo la inteligencia artificial interactúa con el código fuente.
Lo que ocurrió la semana pasada va mucho más allá de un bug en particular. Es el síntoma de un cambio estructural en la forma en que la infraestructura digital es construida, mantenida y, ahora, auditada. Y la pregunta que surge no es solo si aparecerán más vulnerabilidades — es si estamos preparados para lidiar con el ritmo acelerado que la IA ha impuesto al ciclo de descubrimiento y explotación.
El episodio PHP
Las vulnerabilidades CVE-2026-0322 y CVE-2026-0323, encontradas en PHP — el lenguaje que impulsa cerca del 70% de los sitios web del mundo — son un caso paradigmático. Ambas existen en el código fuente de PHP desde hace décadas. La primera se remonta al PHP 4.3, lanzado en 2002. Son fallos reales, explotables remotamente, que permiten la ejecución de código arbitrario en servidores vulnerables.
La diferencia con respecto a los bugs tradicionales es que el descubrimiento no fue hecho de forma aislada. Formó parte de una iniciativa coordinada por OpenAI y Wiz (adquirida por Google), llamada "Hack the Planet", que involucró investigadores de varias empresas trabajando de manera colaborativa. El equipo de Wiz utilizó los modelos de Google, incluido el Gemini 2.5 Pro, para mapear millones de líneas de código y encontrar patrones que escaparon al análisis humano durante años.
El resultado fue devastador. Sitios web de gobiernos europeos quedaron fuera de línea. Operadoras como la SoftBank en Japón suspendieron sistemas de alerta de emergencia. Cloudflare, una de las mayores proveedoras de infraestructura web del mundo, reportó millones de intentos de explotación en las primeras horas tras la divulgación.
Pero el punto central no es que los sitios cayeran. Es que, al deshilachar el tejido de internet, descubres que hay capas enteras de software antiguo sustentándolo todo — código escrito por equipos de pocas personas, sin procesos de seguridad modernos, sin red teams dedicados, sin fondos para mantener la seguridad.
La nueva frontera: descubrimiento asistido por IA
VulnCheck publicó datos impresionantes sobre la tendencia que se consolida. Desde el inicio de 2026, el número de CVEs divulgados por proveedores específicos saltó a niveles sin precedentes: Chrome registró un aumento del 563%, VMware subió un 180%, Apache creció un 170%, Mozilla avanzó un 156%. El propio GitHub confirmó que las emisiones de CVE se dispararon un 476%, con Madison Oliver Ficorilli, del equipo de seguridad de la plataforma, explicando que "no es una persona o una herramienta, es un desplazamiento sistémico en cómo está ocurriendo el descubrimiento de vulnerabilidades".
En abril de 2026, Anthropic anunció Project Glasswing y el modelo Claude Mythos, que alegó haber identificado miles de vulnerabilidades zero-day en todos los principales sistemas operativos y navegadores. En vez de liberar el modelo al público, la empresa distribuyó acceso a un consorcio de socios que incluye AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, Microsoft, NVIDIA y Palo Alto Networks.
Los datos de VulnCheck muestran que, desde entonces, el volumen de descubrimientos asistidos por IA no ha desacelerado. La calidad de las submissions mejoró progresivamente — lo que empezó como "slop" (submissions de baja calidad, en gran volumen) evolucionó a descubrimientos serios y verificables. Lo que estamos viendo es el primer ciclo de una ola que probablemente solo va a crecer.
La paradoja: más vulnerabilidades, más seguridad?
Hay una paradoja central en esta situación. Matthew Prince, CEO de Cloudflare, comparó el fenómeno con "derrotar monstruos en una casa encantada" — puede dar miedo, pero es mejor saber que los monstruos están a la luz del día que escondidos en la oscuridad. Por otro lado, el mismo fenómeno que permite que los equipos defensivos descubran fallos antes que los atacantes también significa que los atacantes pueden descubrir y explotar vulnerabilidades al mismo ritmo.
Daniel Stenberg, desarrollador principal de curl, argumentó que las vulnerabilidades descubiertas por IA tienden a ser bugs exóticos, difíciles de explotar en la práctica. Ramy Rahman, de ArmorCode, afirmó que "más vulnerabilidades divulgadas no significan automáticamente más ataques exitosos". Existe, por tanto, un debate abierto sobre si el aumento en el volumen de descubrimientos se traducirá en más incidentes reales.
Lo innegable es la compresión temporal. El plazo entre el descubrimiento de una falla y la disponibilidad de exploits para atacantes — que antes daba días o semanas de margen — ahora puede ser de horas. Shane Fry, de RunSafe Security, dijo que el rendimiento demostrado por los modelos de IA en los últimos meses "eliminó definitivamente las dudas sobre cómo esto va a cambiar la industria".
¿Qué sigue?
La infraestructura de internet, construida sobre décadas de software heredado y mantenimiento sobrecargado, ahora enfrenta un escenario donde el descubrimiento de vulnerabilidades se acelera exponencialmente. La pregunta no es si veremos más incidentes como el de PHP2Shell — es qué tipo de modelo de seguridad emergerá para enfrentar esta realidad.
La respuesta probablemente no está en intentar impedir que la IA descubra fallos, sino en construir ecosistemas de mantenimiento que operen a la misma velocidad. Eso significa herramientas automáticas de parcheo, sistemas de detección en tiempo real y, sobre todo, la comprensión de que internet es un organismo vivo cuyas partes fundamentales necesitan inversión continua — no solo cuando hay crisis, sino antes.
La casa encantada seguirá existiendo. La pregunta es si lograremos mantener las luces encendidas.
Fuentes: TechCrunch, Business Standard (Reuters), VulnCheck
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
