Esta semana hemos comprobado (otra vez) que internet pende de un hilo: dos fallos graves en PHP han desatado una carrera contrarreloj para proteger una web que se apoya en buena parte en ese veterano lenguaje de código abierto. PHP funciona en aproximadamente el 70% de las webs, según W3Techs, así que con ese alcance cabría esperar tuviera una organización a la altura detrás, pero no: su funcionamiento es precario a más no poder. Elizabeth Barron es su directora ejecutiva y ha contado a Reuters que tiene una sola empleada a tiempo completo (ella misma) y 14 contratistas, la mayoría a tiempo parcial.

La junta es voluntaria y la financiación procede de donaciones y subvenciones. Vamos, que la foto de stock que ves ilustrando la portada del artículo podría ser real. Cronología de una crisis con incógnitas.

El problema viene de lejos: la fundación identificó una de las vulnerabilidades allá por 2024 durante una revisión de seguridad, pero entonces no encontraron una vía de explotación conocida y su corrección era difícil. En 2026, la vulnerabilidad se descubrió de forma externa: la firma de ciberseguridad Calif avisó al equipo el 11 agosto, OpenAI llegó también hasta allí por su cuenta y Wiz informó a la fundación el 24, tras cinco días de investigación. El 20 de octubre se filtraron los identificadores de los dos fallos y el proyecto adelantó un día la publicación, como recoge Simon Willinson.

Un día después llegó el parche. Después, Cloudflare registró millones de intentos de ataque, como contaba su CEO a Reuters. Sin embargo, según Elizabeth Barron, la fundación no tiene evidencia de que alguien aprovechara esas vulnerabilidades antes de hacerlas públicas ni en webs ya parcheadas.

Sin embargo, Amazon asegura que sus sistemas señuelo detectaron un intento de ataque el 17 de octubre procedente de una IP anonimizada. Se desconoce quién fue y cómo conocía el fallo. No obstante, no era una web real sino un señuelo.

Por qué importa. Teniendo en cuenta que los fallos están en PHP y no en un plugin, no basta con actualizar el contenido: es necesario actualizar PHP en cada servidor y tiene su complejidad, porque hay que preservar la compatibilidad con aplicaciones y extensiones. No obstante, este no es un problema estructural que solo afecte a internet (ojo, a casi el 70 % de las webs en las que se conoce el lenguaje de servidor), sino también a empresas e instituciones de todo tipo.

Barron es clara: dada la dependencia de empresas y gobiernos, PHP está "increíblemente infrafinanciado". El papel de la IA. Como explica la directora ejecutiva de la fundación, la inteligencia artificial da una de cal y una de arena.

Sí, ayuda al equipo de investigación a encontrar esos fallos, presentes desde hace una década, y aumenta la eficiencia de las tareas de programación, algo fundamental cuando faltan manos. Pero también aumenta la carga de trabajo de las personas que mantienen todo, ya que la tarea de revisión de posibles cambios recae sobre unas pocas personas con experiencia. El proyecto PHP está recibiendo casi el doble de propuestas de cambio de código respecto a hace un año pero "el número de colaboradores no se ha duplicado", reconoce.

En Xataka | Cada cuánto debemos cambiar TODAS nuestras contraseñas según tres expertos en ciberseguridad Portada | Christina Morillo