PHP sostiene el 70% de la web con una sola empleada a tiempo completo
Dos fallos graves de seguridad expusieron la fragilidad de la Fundación PHP, que administra el lenguaje usado en casi todo internet con recursos mínimos y personal reducido.
Un par de fallos de seguridad graves detectados recientemente en PHP volvieron a poner en evidencia la fragilidad de la infraestructura de internet. Según datos de la consultora W3Techs, este lenguaje de código abierto funciona en aproximadamente el 70% de los sitios web donde se conoce el lenguaje de servidor. Sin embargo, la estructura que sostiene semejante volumen tecnológico funciona con recursos sumamente acotados.
En declaraciones a Reuters, Elizabeth Barron, directora ejecutiva de la Fundación PHP, detalló que la organización cuenta con una sola empleada a jornada completa —ella misma— y 14 contratistas, en su mayoría a tiempo parcial. La junta directiva trabaja de manera voluntaria y el financiamiento proviene exclusivamente de donaciones y subvenciones. Ante esta situación, Barron remarcó que el proyecto se encuentra «increíblemente infrafinanciado», considerando la dependencia directa que tienen empresas e instituciones gubernamentales de esta tecnología.
Una cronología de fallos y alertas de seguridad
La problemática reciente no es completamente nueva. La fundación había identificado una de las vulnerabilidades en 2024 durante una revisión de seguridad, aunque en aquel momento no se encontró una vía conocida para su explotación y la corrección resultaba compleja. Durante 2026, la situación cambió tras reportes externos:
- 11 de agosto de 2026: La firma de ciberseguridad Calif alertó al equipo sobre la vulnerabilidad.
- Agosto de 2026: OpenAI detectó el fallo de forma independiente.
- 24 de agosto de 2026: La empresa Wiz informó a la fundación tras cinco días de investigación.
- 17 de octubre de 2026: Sistemas señuelo de Amazon detectaron un intento de ataque procedente de una IP anonimizada. Al ser un entorno de prueba y no una web real, no hubo impacto, aunque se desconoce quién ejecutó el intento.
- 20 de octubre de 2026: Se filtraron los identificadores de los dos fallos, lo que obligó al proyecto a adelantar la publicación oficial.
- 21 de octubre de 2026: Se lanzó formalmente el parche de seguridad.
Tras la difusión de las soluciones, la empresa Cloudflare registró millones de intentos de ataque masivos en la red. A pesar de estos movimientos, Barron aclaró que la fundación no tiene evidencia de que las vulnerabilidades hayan sido aprovechadas en sitios reales antes de su divulgación o en páginas ya actualizadas. Aplicar la solución requiere actualizar la versión de PHP en cada servidor, un proceso meticuloso para garantizar la compatibilidad con aplicaciones y extensiones existentes.
El papel contradictorio de la inteligencia artificial
La irrupción de las herramientas de inteligencia artificial generó un escenario dual para los desarrolladores. Por un lado, ayuda a los investigadores a descubrir fallos que llevaban hasta una década presentes en el código y optimiza las tareas cotidianas de programación.
Por otro lado, incrementó notoriamente la carga de trabajo. El proyecto PHP recibe actualmente casi el doble de propuestas de modificación de código respecto al año anterior, pero el número de revisores experimentados no creció en la misma proporción. Esto deja la supervisión final de la seguridad del sistema sobre un puñado muy acotado de personas.