PHP2Shell: la IA encontró el agujero que llevaba una década escondido (y nadie quiere hablar de lo que significa)
Una IA ha destapado PHP2Shell, un conjunto de vulnerabilidades en PHP que afecta a cerca del 70% de la web, incluido WordPress. Mientras tanto, la Linux Foundation mide que el 25% de los pull requests generados con IA son basura y Kimi K3.1 Pro empuja a los modelos chinos baratos a la cima. La misma tecnología que rompe y arregla internet está saturando a quienes la mantienen.
Escucha el artículo
La IA acaba de demostrar que sabe romper internet mejor que cualquier humano. Y la misma semana nos enteramos de que escribe código que ni sus propios usuarios se atreven a revisar.
Dos titulares, una sola idea incómoda: la inteligencia artificial ya no es un juguete para autocompletar funciones. Es una palanca que multiplica lo bueno y lo malo a la vez, y la industria sigue fingiendo que solo existe lo primero.
PHP2Shell: qué ha pasado con PHP y por qué te afecta aunque no programes en PHP
Investigadores de Calif y Wiz, de forma independiente, usaron modelos como GPT-5.6 Sol y Gemini 4 Argon para descubrir un conjunto de fallos en PHP bautizado como PHP2Shell. Hablamos de ejecución remota de código en el lenguaje que, según Wiz, mueve alrededor del 70% de los sitios web con lenguaje conocido: tiendas online, servicios públicos, Wikipedia y una montaña de sitios WordPress.
Los fallos no eran triviales. Según los propios investigadores, probablemente nadie los habría encontrado sin IA, y la IA además fue capaz de construir exploits funcionales para demostrarlo. Hay parches publicados y la presión para actualizar es enorme, hasta el punto de que las autoridades han llegado a recomendar sacar de línea lo que no se pueda arreglar a tiempo.
Si tienes un WordPress, un WooCommerce o cualquier cosa corriendo sobre PHP en un hosting compartido, esto no es una noticia ajena. Actualizar PHP hoy no es una recomendación, es la tarea del día.
El problema de fondo: encontrar fallos es barato, arreglarlos sigue siendo caro
La IA ya es brutalmente buena detectando vulnerabilidades. Lo que no escala igual de rápido es la capacidad humana de parchear, probar, desplegar y comunicar. Y ahí aparece el otro dato de la semana.
Un informe de la Linux Foundation mide que la IA reduce un 52% el tiempo de escribir código, pero que el 25% de los pull requests recibidos en proyectos open source se considera de baja calidad. En los proyectos más grandes, el 31%. Los desarrolladores ya lo llaman AI slop.
El 59% de los mantenedores reporta más contribuciones desde que la IA generativa se popularizó, pero más volumen no significa más software utilizable. Significa más cosas que revisar. Solo el 61% de los encuestados dice hacer revisiones y pruebas funcionales completas antes de enviar código, y no todos avisan de que el código lo generó una máquina.
Estamos construyendo una fábrica de código sin ampliar el departamento de calidad. Los mantenedores, voluntarios en buena parte, son el cuello de botella de internet. Y los estamos ahogando.
El giro que casi nadie menciona: los modelos baratos cambian quién puede jugar
Moonshot AI acaba de lanzar Kimi K3.1 Pro, enfocado en programación e investigación financiera, con una valoración de unos 50.000 millones de dólares y salida a bolsa prevista en Hong Kong. Reuters ya habla de un modelo chino económico que alcanza a Anthropic y OpenAI en su propio terreno.
Esto tiene una consecuencia que pocos dicen en voz alta: si encontrar y explotar fallos con IA se abarata, el monopolio de los defensores se acaba. Hoy PHP2Shell lo encontraron equipos que reportaron de forma responsable y coordinaron parches. Mañana el mismo nivel de capacidad estará disponible por céntimos para cualquiera, con buenas o malas intenciones.
La narrativa de que restringir la IA nos protege se cae por su propio peso cuando la ventaja defensiva de esta semana existió precisamente porque los defensores tuvieron acceso a modelos potentes. El debate real no es IA sí o no, sino quién la usa primero y con qué disciplina.
Qué significa esto para desarrolladores, freelancers y dueños de negocio
Si eres desarrollador, la habilidad que sube de precio no es escribir código, es revisarlo, aislarlo y asumir la responsabilidad de lo que se despliega. Quien entregue código generado sin leerlo está acumulando deuda que alguien cobrará con intereses.
Si eres freelancer, tienes una oportunidad concreta: auditar y actualizar los sitios PHP de tus clientes. Versión de PHP, plugins abandonados, accesos innecesarios, copias de seguridad que de verdad restauran. Es trabajo aburrido y es justo el que evita un desastre.
Si tienes un negocio con web, haz tres cosas esta semana: confirma con tu hosting que PHP está parcheado, revisa que tus plugins se actualizan y comprueba que existe una copia reciente fuera del servidor. Sin dramas, pero sin posponerlo.
La conclusión es simple y desagradable: la IA acelera tanto el ataque como la defensa, y también acelera la basura. El que gana no es el que usa más IA, sino el que sabe cuándo no confiar en ella.
¿Tu web corre sobre PHP o WordPress y no sabes si está al día? Escríbeme desde la página de contacto y la revisamos juntos, sin jerga y sin vender humo. Soy desarrollador freelance, no una agencia: hablas conmigo, y yo me encargo.