Dos vulnerabilidades críticas en una tecnología utilizada por millones de páginas web obligaron a publicar actualizaciones de emergencia. Los especialistas detectaron intentos de ataque y advierten sobre una nueva etapa de amenazas informáticas.
Una grave alerta de ciberseguridad internacional sacudió esta semana a la industria tecnológica. El descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios web, expuso a millones de servidores a posibles ataques y dio origen a una expresión que comenzó a circular entre especialistas y medios internacionales: Black October, u Octubre Negro.
Las fallas podrían permitir que delincuentes informáticos tomen el control de servidores vulnerables sin necesidad de conocer contraseñas ni disponer de una cuenta de acceso. El hallazgo obligó a publicar correcciones urgentes, activó advertencias de organismos de seguridad y desencadenó intentos de explotación contra sistemas de todo el mundo.
El episodio también puso de manifiesto un cambio en la manera de descubrir amenazas informáticas: la inteligencia artificial permitió identificar y demostrar la gravedad de errores que habían permanecido durante años en el código de un software fundamental para Internet.
Qué es Black October y por qué preocupa a los especialistas
La denominación Black October comenzó a ganar visibilidad después del 21 de octubre, cuando los desarrolladores de PHP publicaron actualizaciones de emergencia para corregir dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10 y fueron agrupadas bajo el nombre PHP2Shell.
El problema reside en la forma en que PHP administra la memoria y procesa determinados errores. Bajo ciertas condiciones, un atacante podría aprovechar esos defectos para ejecutar instrucciones maliciosas a distancia, acceder a información confidencial o comprometer el servidor que aloja una página web.
La dimensión del problema está relacionada con la enorme presencia de PHP en Internet. Este lenguaje se utiliza en plataformas y sistemas como WordPress, Drupal y Joomla, además de aplicaciones empresariales, comercios electrónicos y servicios digitales.
Según las estadísticas de W3Techs, al 24 de octubre PHP está presente en el 69,3% de los sitios web cuyo lenguaje de programación del lado del servidor puede identificarse.
Esta cifra requiere una aclaración: no significa que casi el 70% de Internet haya sido atacado o comprometido. Refleja la popularidad de una tecnología que puede presentar riesgos cuando se utilizan versiones vulnerables y no se aplican las actualizaciones correspondientes.
La repercusión internacional llevó a medios como The Guardian y The Washington Post a utilizar la expresión Black October para describir la alarma y las advertencias sobre la nueva velocidad con la que podrían descubrirse y aprovecharse fallas de seguridad.
Cómo la inteligencia artificial ayudó a descubrir vulnerabilidades que llevaban años ocultas
Uno de los aspectos más relevantes del caso es la participación de herramientas de inteligencia artificial en las investigaciones.
La PHP Foundation, organización que respalda el desarrollo del lenguaje, reconoció que durante una auditoría realizada en 2024 ya se habían identificado indicios de uno de los problemas. En aquel momento, los investigadores no habían conseguido demostrar una vía concreta para ejecutar código malicioso mediante esa falla. La situación cambió en 2026.
La empresa de seguridad Calif, dentro de una iniciativa coordinada por OpenAI, utilizó un modelo de IA para investigar el código de PHP y demostrar un escenario de ataque. Otros investigadores de OpenAI y la firma de ciberseguridad Wiz también identificaron y comunicaron problemas relacionados.
Las nuevas herramientas ayudaron a analizar comportamientos complejos del software y a desarrollar pruebas que permitieron comprender el verdadero alcance de los errores.
El caso también expuso las dificultades que enfrentan los responsables de mantener tecnologías ampliamente utilizadas. La PHP Foundation reconoció que la falta de recursos y las dificultades para decidir cómo corregir el defecto habían contribuido a demorar su resolución.
Según informó Reuters, la organización cuenta con una sola empleada a tiempo completo y 14 contratistas, en su mayoría de dedicación parcial.
Para los especialistas, esta combinación plantea un desafío: la inteligencia artificial puede acelerar el descubrimiento de vulnerabilidades, mientras que su corrección continúa dependiendo de equipos humanos que deben desarrollar, verificar y distribuir las actualizaciones.
Los intentos de ataque comenzaron antes de la alerta pública
La gravedad de PHP2Shell dejó de ser una preocupación exclusivamente teórica cuando las empresas de seguridad comenzaron a registrar intentos de explotación.
Amazon Web Services informó que sus sistemas de detección identificaron actividad sospechosa vinculada con estas vulnerabilidades el 17 de octubre, cuatro días antes de su divulgación oficial.
La compañía también detectó nuevos intentos durante las horas previas y posteriores a la publicación de las correcciones. Sus investigadores aclararon que todavía no podían determinar si los primeros ataques habrían conseguido comprometer sistemas reales.
Cloudflare, una de las principales empresas de infraestructura y protección de sitios web, comunicó que registró actividad maliciosa contra estas fallas y desplegó mecanismos adicionales de defensa para sus clientes.
La magnitud de la amenaza provocó respuestas oficiales. La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó identificar todos los sistemas que utilizan versiones vulnerables de PHP y aplicar las actualizaciones de inmediato. Organismos de Canadá, Singapur y la Unión Europea también difundieron advertencias y medidas de protección.
La existencia de numerosos intentos de explotación no equivale a confirmar un ataque exitoso y generalizado contra Internet. Hasta el momento, las alertas públicas documentan una amenaza grave, pruebas de explotación y actividad maliciosa, sin establecer que todos los sitios potencialmente expuestos hayan sido comprometidos.
Qué pueden hacer las empresas y los administradores de sitios web
El equipo responsable de PHP publicó el 21 de octubre cuatro versiones que corrigen las dos vulnerabilidades principales: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Los especialistas recomiendan identificar las instalaciones afectadas, aplicar las actualizaciones correspondientes y revisar los registros de los servidores en busca de actividad sospechosa.
Los sitios que utilizan servicios de alojamiento administrado deben consultar con sus proveedores para confirmar que las correcciones estén instaladas. Actualizar únicamente una página de WordPress o sus complementos no soluciona una vulnerabilidad presente en el propio intérprete de PHP.
El 23 de octubre se conoció, además, una tercera vulnerabilidad relacionada, identificada como CVE-2026-115560. Su explotación requiere una combinación poco habitual de configuraciones y comportamientos de la aplicación. Los desarrolladores publicaron una medida de mitigación temporal hasta que esté disponible la corrección definitiva.
Para los usuarios comunes de Internet, las medidas específicas recaen principalmente sobre quienes administran los sitios y sus servidores. La alerta no implica que todos los visitantes deban realizar una actualización especial en sus celulares o computadoras.
Por qué Black October podría marcar un cambio en la ciberseguridad
Más allá del problema puntual de PHP, el episodio abrió un debate sobre el futuro de la protección de sistemas informáticos.
Durante años, descubrir y aprovechar determinadas vulnerabilidades requería conocimientos técnicos avanzados y largos períodos de investigación. Las herramientas de inteligencia artificial pueden reducir parte de ese esfuerzo, acelerar el análisis de código y facilitar la búsqueda de errores complejos.
Esa capacidad representa una ventaja para los investigadores que trabajan para proteger sistemas, aunque también podría beneficiar a grupos criminales interesados en desarrollar nuevas formas de ataque.
Jason Clinton, responsable adjunto de seguridad de la información de Anthropic, advirtió sobre la posibilidad de una gran cantidad de vulnerabilidades descubiertas en poco tiempo, mientras que Matthew Prince, director ejecutivo de Cloudflare, señaló que los equipos de defensa podrían enfrentar dificultades para corregirlas al mismo ritmo.
Se trata de advertencias sobre escenarios futuros, no de una confirmación de que la infraestructura mundial haya perdido su capacidad de protección.
El caso de Black October muestra la dependencia de Internet de componentes de software compartidos por millones de organizaciones y la importancia de mantenerlos actualizados. También plantea un desafío para la industria: adaptar los procesos de descubrimiento, comunicación y corrección de vulnerabilidades a una etapa en la que la inteligencia artificial permite examinar sistemas a una velocidad cada vez mayor.