PHP2Shell: investigador de Calif halló RCE en PHP con IA

Lo esencial

• Un investigador de Calif halló RCE en PHP con ayuda de IA, en una auditoría financiada por OpenAI.
• El bug base se reportó a la fundación PHP en 2024 y quedó sin parchar por años.
• Afectaba sitios con WordPress y Drupal, incluidos NASA, Wikipedia y la Casa Blanca.
• Calif reportó la falla antes de que atacantes la explotaran; ya existe un parche.
• Expertos lo describen como la señal de alerta de 40 años de deuda técnica en software legacy.

Un investigador de la firma de ciberseguridad Calif usó herramientas de inteligencia artificial y, en dos semanas, convirtió un bug de memoria que PHP arrastraba desde 2024 en un exploit capaz de ejecutar código remoto en el servidor. Así nació lo que ya se conoce como PHP2Shell.

Qué pasó

A fines de octubre de 2026 salió a la luz la vulnerabilidad PHP2Shell, capaz de leer datos sensibles y ejecutar código malicioso en el servidor que corre el sitio afectado. El riesgo alcanzaba a cualquier web construida sobre WordPress o Drupal, dos de los sistemas más usados del mundo, además de sitios puntuales como los de NASA, Wikipedia y la Casa Blanca.

Según reportó IEEE Spectrum, el desastre se evitó: los investigadores que hallaron el fallo lo reportaron directo a la PHP Foundation y el parche salió antes de que algún atacante tuviera el exploit en sus manos.

El bug que nadie tomaba en serio

PHP (originalmente 'personal home page') es un lenguaje creado en 1994 y todavía corre buena parte de la web. El bug detrás de PHP2Shell se reportó a la PHP Foundation ya en 2024, pero no era el tipo de reporte que dispara alarmas: generaba un error de memoria insuficiente, el caso en que una porción de memoria asignada resulta demasiado chica para los datos que debe guardar.

Normalmente ese tipo de error solo hace crashear el programa, algo molesto pero no peligroso. Por eso quedó en la pila de reportes pendientes. Nadie vio el camino que llevaba de un simple crash a ejecutar código arbitrario en el servidor.

Cómo la IA encontró lo que los humanos ignoraron por años

Calif ofreció auditar PHP de forma independiente este año, con el patrocinio de OpenAI. Un investigador de la firma, apoyado en herramientas de IA, tardó dos semanas en encontrar la forma de usar ese error de memoria para correr código arbitrario en el servidor que aloja el sitio.

"Si mirás cualquier momento en el tiempo, va a haber un montón de reportes de bugs esperando a ser arreglados, que son solo crashes. La mayoría de la gente no los toma muy en serio", explicó Suman Jana, profesor asociado de ciencias de la computación en Columbia University, a IEEE Spectrum. "Es solo que requiere mucho razonamiento específico que resulta tedioso hacer. Y la IA, creo, ha hecho un muy buen trabajo en eso."

Deuda técnica de 40 años, al descubierto

Matt Suiche, líder de investigación en seguridad de IA en la startup Tolmo, enmarcó el hallazgo en un fenómeno más amplio: "Una de las cosas que estamos viendo ahora es que todo el software legacy que humanos escribieron en los últimos 40 años está quedando expuesto. Ahora es momento de pagar esa deuda técnica", dijo.

La lectura es simple: la IA no inventó una clase nueva de vulnerabilidad. Hizo más barato encontrar fallas que ya existían pero que exigían demasiado trabajo manual para conectar un crash trivial con una ejecución de código completa.

El parche y la ventana que se cerró a tiempo

La secuencia funcionó como debería: Calif halló el exploit, lo reportó a la PHP Foundation y el equipo de PHP liberó un parche antes de que la vulnerabilidad circulara entre atacantes. No hay evidencia pública de explotación activa contra NASA, Wikipedia, la Casa Blanca ni ningún otro sitio mencionado.

Eso no quita gravedad al hallazgo: la ventana entre el reporte original de 2024 y el parche de 2026 fue de años, tiempo en el que la falla estuvo disponible para cualquiera con los mismos recursos que Calif usó para encontrarla.

Qué viene después

El caso PHP2Shell empuja a los mantenedores de proyectos legacy a revisar con otros ojos los reportes de crashes acumulados durante años, porque un fallo que antes se descartaba como ruido ahora es más fácil de escalar a ejecución remota de código con asistencia de IA.

Para equipos que mantienen software con décadas de historia, la lección práctica es priorizar la revisión de bug trackers viejos, en especial los errores de memoria sin resolver, antes de que alguien con un asistente de IA llegue primero.

📖 Versión extendida con más detalle: https://elsolitario.org/2026/11/04/php2shell-investigador-de-calif-hallo-rce-en-php-con-ia/?utm_source=telegraph&utm_medium=instant_view&utm_campaign=programacion