Internet suele funcionar sin que nadie se pregunte cómo. Solo miramos debajo del capó cuando algo falla. El 21 de octubre, a mediodía, saltaron las alarmas: la comunidad PHP publicó nuevas versiones para corregir dos vulnerabilidades críticas. La buena noticia es quién las encontró primero y cómo lo hizo: investigadores de seguridad apoyados en modelos de inteligencia artificial.
Los dos fallos, identificados como CVE-2026-109618 y CVE-2026-109619, permitían a un atacante ejecutar código en un servidor sin necesidad de iniciar sesión. Los encontraron investigadores sin intenciones maliciosas. Eso es justo lo que se busca en ciberseguridad: dar con el agujero antes que quien quiere aprovecharlo. Y esta vez, en buena parte, gracias a la IA.
Qué pasó con PHP y por qué importa
PHP es el lenguaje en el que funciona buena parte de las webs del planeta. Se estima que está presente en el 69,3% de ellas. El ejemplo más reconocible es WordPress, que mueve casi el 40% de todas las webs. Por eso un fallo grave en PHP afecta a una parte enorme de internet, y no a una empresa concreta.
Las dos vulnerabilidades tenían que ver con cómo PHP gestiona ciertos errores de memoria mientras atiende las peticiones de las webs. En determinadas condiciones, el servidor podía quedar en un estado inseguro. Un atacante podía aprovechar ese comportamiento para ejecutar código a distancia y, en la práctica, hacerse con las llaves del servidor.
Cuando alguien sin intenciones maliciosas encuentra un fallo así, los organismos de ciberseguridad lanzan un aviso con una recomendación directa: actuar cuanto antes y valorar desconectar los sistemas. Eso es lo que pasó. Países como España, Francia, Dinamarca, Finlandia o Países Bajos retiraron páginas y servicios públicos, como webs estatales de seguridad, de educación o de la Administración. Fue una medida preventiva para cortar por lo sano.
Ver servicios públicos fuera de línea puede parecer una mala señal. Pero es el protocolo funcionando como debe: el fallo se conoció, la comunidad PHP publicó versiones corregidas y las administraciones reaccionaron rápido.
Cómo ayudó la inteligencia artificial
Aquí entra la IA. Conviene separar la IA generativa de uso general de la que se aplica a la investigación y a la ciberseguridad. En este segundo terreno los avances ya se notan. OpenAI, por ejemplo, tiene un programa llamado Patch the Planet que financia a investigadores para encontrar vulnerabilidades en la red.
La firma de seguridad Wiz fue de las primeras en dar el aviso. Con los modelos GPT-5.6 Sol y Gemini 4 Argon, demostró que era posible ejecutar código a distancia en WordPress, Drupal y Joomla.
Dentro del programa Patch the Planet, otra firma, Calif, amplió la lista de herramientas afectadas a Magento, MediaWiki, Nextcloud y phpMyAdmin. Entre esas siete está prácticamente todo el internet que depende de PHP.
- WordPress, Drupal y Joomla: ejecución remota de código demostrada por Wiz.
- Magento, MediaWiki, Nextcloud y phpMyAdmin: añadidos a la lista por Calif dentro de Patch the Planet.
- PHP: presente en el 69,3% de las webs, según las estimaciones.
- WordPress: alimenta casi el 40% de todas las webs.
Las personas siguen al mando
La IA no hizo el trabajo sola. El investigador Ryan Austin, de Calif, explicó que partió de un problema ya conocido: un error de memoria que se había comunicado a PHP en 2020 y que una auditoría externa volvió a detectar en 2024. El error estaba ahí, pero nadie había podido demostrar que se pudiera explotar.
Austin usó un modelo de IA para buscar formas de provocar ese error a voluntad y, de paso, revisar el código en busca de puntos débiles. Después pidió al modelo que convirtiera el patrón en una instrucción reutilizable. Con ella apareció la segunda vulnerabilidad.
Desde Calif subrayan dos ideas. La primera: no usaron herramientas especiales ni modelos fuera del alcance de cualquiera. La segunda: ningún modelo encuentra esos errores si no hay detrás una persona que conoce el historial del fallo o el objetivo de los ataques.
En Wiz cuentan algo parecido. Sus investigadores encadenaron los fallos y adaptaron el ataque con los modelos como apoyo. Según la empresa, un solo investigador hizo en una semana lo que antes habría requerido meses y un equipo de primer nivel. Eso sí, aclaran que adaptar el ataque a cada versión de PHP y configurarlo siguió siendo trabajo de especialistas. Los modelos no sustituyen ese conocimiento. Lo aceleran.
Ese reparto de papeles es la clave del caso. El experto aporta el contexto y sabe dónde mirar. La máquina aporta velocidad. Juntos llegan antes al agujero.
La ciberseguridad, el gran campo de pruebas de la IA
Lo de PHP no es un caso aislado. OpenAI y Anthropic llevan meses con la ciberseguridad en el punto de mira. Las dos empresas quieren ganar dinero y salir a bolsa, y buscan nuevas fuentes de ingresos para una tecnología muy cara. La ciberseguridad es, para ellas, el escenario ideal.
Ambas compañías han ido creando modelos cada vez más capaces para encontrar errores críticos en sistemas. OpenAI ya apuntaba maneras con GPT-5 a finales de 2025, pero fue Mythos, de Anthropic, el modelo que puso a todo el sector en alerta.
En su presentación, Anthropic explicó que Mythos había identificado miles de vulnerabilidades graves en todos los sistemas operativos y en todos los navegadores. Entre ellas había fallos que llevaban muchísimo tiempo escondidos en programas como OpenBSD o FFmpeg.
La empresa puso el modelo al servicio de otras compañías dentro del Proyecto Glasswing. Poco después, organizaciones como Mozilla contaban que les estaba ayudando mucho a corregir errores críticos que no habían visto. Mythos no está disponible en versión comercial: solo se ofrece a empresas bajo condiciones estrictas.
OpenAI ha seguido el mismo camino con GPT-6 Astra. Según la compañía, este modelo alcanza un 100% en pruebas como ExploitBench, frente al 78,5% de GPT-5.6 Sol. También asegura que ha logrado ejecutar código arbitrario en navegadores con todas las protecciones activadas. En manos de equipos de defensa, esa capacidad sirve para localizar agujeros y taparlos antes.
Qué viene ahora
La ciberseguridad es el primer lugar donde el impacto de la IA se ve a simple vista. Pero no el único. Varios estudios recientes miran ya al trabajo y a la industria, y dejan datos para un optimismo prudente.
El empleo, por ahora, aguanta
El observatorio trimestral del mercado de trabajo de la Fundación de Estudios de Economía Aplicada (Fedea) y BBVA Research ha incluido por primera vez un análisis del impacto de la IA generativa en el empleo en España. Su conclusión es clara: por el momento, «no se observa una relación negativa entre exposición potencial a la IA y creación de empleo».
Según sus datos, desde 2022 el empleo ha crecido en todos los grupos de exposición, y las ocupaciones más expuestas a la IA han crecido por encima del empleo total. Tampoco ven, de momento, que más exposición vaya ligada a peores condiciones. Esas ocupaciones tienen, en general, menos temporalidad y menos subempleo por falta de horas. Los autores piden interpretar estos datos con cautela, porque pueden reflejar el nivel educativo o el tipo de ocupación, y no un efecto de la IA.
Rafael Doménech, responsable de Análisis Económico de BBVA Research, explicó en la presentación que la palabra «exposición» suele generar prejuicios, pero que «el efecto puede ser claramente positivo». Y puso un ejemplo:
«La IA puede liberar tiempo para otras tareas y, en ese caso, cuanta más exposición, mejor, para poder ser más productivos».
La Organización Internacional del Trabajo (OIT) calcula que uno de cada cuatro trabajadores del mundo está en una ocupación con algún grado de exposición a la IA generativa. En los países de renta alta la proporción llega al 34%. La propia OIT recuerda que exposición no equivale a perder el empleo: como muchas tareas siguen necesitando a una persona, lo más probable es que los puestos se transformen.
Funcas también ha estudiado el caso español. Su informe prevé que la IA destruirá empleo en algunos perfiles y creará otros, y además identifica entre 2,8 y 3,5 millones de trabajadores que ganarán productividad al incorporar la IA a sus tareas, sobre todo en el sector servicios. Su autor, Francisco Rodríguez, catedrático de Economía de la Universidad de Granada, recuerda que el 78% de las empresas dice tener problemas para encontrar perfiles digitales. Y apunta a empleos «de nuevo cuño» relacionados con el entrenamiento y la prueba de sistemas de IA.
La IA sale de las pantallas
El siguiente paso es la llamada IA física: máquinas que actúan de forma autónoma en espacios reales, como fábricas, recintos deportivos o zonas de emergencia. Un estudio de la consultora PwC calcula que este mercado llegará a 430.000 millones de euros en 2030. En Europa, la adopción temprana supondrá entre 80.000 y 110.000 millones para esa fecha.
Según el Instituto de Investigación Capgemini, dos de cada tres organizaciones en el mundo ya consideran la IA física una prioridad estratégica para los próximos tres a cinco años. En España, el 69% de las compañías la ve como un factor disruptivo para su sector y prevé aumentar su inversión un 27%, por encima de la media internacional. A escala global, el 79% de las empresas ya experimenta con ella, aunque solo el 27% ha empezado a extender su uso.
Francisco Monzonis, responsable de IA de Insights & Data de Capgemini en España, describe un reparto de papeles que recuerda mucho al de la ciberseguridad:
«Las personas aportan una visión estratégica de supervisión y de toma de decisiones complejas, mientras que la máquina asume las tareas repetitivas y de mayor esfuerzo físico, actuando como un valor complementario que acompaña al profesional».
En el País Vasco, el centro tecnológico Vicomtech ya investiga en este campo y transfiere tecnología a las empresas para que sean más competitivas. Su investigador sénior Jairo Sánchez avisa de que la IA física exige personal muy especializado e infraestructuras de cálculo avanzadas, y defiende la colaboración entre grupos de investigación e industria. También recuerda los retos pendientes: la certificación de estos sistemas, la responsabilidad en caso de fallo y su aceptación social.
El caso de PHP deja una lección sencilla. La IA ya ayuda a encontrar fallos que llevaban años escondidos, y funciona mejor cuando trabaja junto a personas que saben dónde mirar. Ryan Austin partió de un error de 2020 que nadie había logrado explotar. Con un modelo como ayudante, dio con dos vulnerabilidades críticas que la comunidad PHP ya ha corregido.
Preguntas frecuentes
¿Qué fallos se encontraron en PHP?
Dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, relacionadas con cómo PHP gestiona ciertos errores de memoria. Permitían ejecutar código en un servidor sin iniciar sesión. La comunidad PHP publicó versiones que las corrigen el 21 de octubre.
¿Cómo ayudó la inteligencia artificial?
Wiz usó los modelos GPT-5.6 Sol y Gemini 4 Argon para demostrar el ataque en WordPress, Drupal y Joomla. Ryan Austin, de Calif, usó un modelo para provocar a voluntad un error conocido desde 2020 y, con una instrucción reutilizable, encontró la segunda vulnerabilidad.
¿La IA lo hizo todo sola?
No. Calif explica que ningún modelo encuentra esos errores sin una persona que conozca el historial del fallo o el objetivo de los ataques. Wiz aclara que adaptar el ataque a cada versión de PHP fue trabajo de especialistas, aunque los modelos lo aceleraron: un investigador hizo en una semana lo que antes requería meses.
¿Está destruyendo empleo la IA en España?
Según el observatorio de Fedea y BBVA Research, por ahora no se observa una relación negativa entre exposición a la IA y creación de empleo. Desde 2022 el empleo ha crecido en todos los grupos de exposición.
Por la redacción de GUAY.news.
Deja una respuesta