Una grave alerta de ciberseguridad internacional sacudió esta semana a la industria tecnológica. El descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios web, expuso a millones de servidores a posibles ataques y dio origen a una expresión que comenzó a circular entre especialistas y medios internacionales: Black October, u octubre negro.
Las fallas podrían permitir que delincuentes informáticos tomen el control de centros de datos vulnerables sin necesidad de conocer contraseñas ni disponer de una cuenta de acceso.
El hallazgo obligó a publicar correcciones urgentes, activó advertencias de organismos de seguridad y desencadenó intentos de explotación contra sistemas de todo el mundo.
El episodio también puso de manifiesto un cambio en la manera de descubrir amenazas informáticas: la inteligencia artificial permitió identificar y demostrar la gravedad de errores que habían permanecido durante años en el código de un software fundamental para Internet.
Qué es Black October y por qué preocupa a los especialistas
La denominación Black October comenzó a ganar visibilidad después del 21 de octubre, cuando los desarrolladores de PHP publicaron actualizaciones de emergencia para corregir dos vulnerabilidades identificadas como CVE-2026-109618 y CVE-2026-109619. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10 y fueron agrupadas bajo el nombre PHP2Shell.
Bajo ciertas condiciones, un atacante podría aprovechar esas fallas para ejecutar instrucciones maliciosas a distancia, acceder a información confidencial o comprometer el servidor que aloja una página web.
La dimensión del problema está relacionada con la enorme presencia de PHP en Internet. Este lenguaje se utiliza en plataformas y sistemas como WordPress, Drupal y Joomla, además de aplicaciones empresariales, comercios electrónicos y servicios digitales: según las estadísticas de W3Techs, al 24 de octubre PHP está presente en el 69,3% de los sitios web cuyo lenguaje de programación del lado del servidor puede identificarse.
Esta cifra requiere una aclaración: no significa que casi el 70% de Internet haya sido atacado o comprometido. Refleja la popularidad de una tecnología que puede presentar riesgos cuando se utilizan versiones vulnerables y no se aplican las actualizaciones correspondientes.
Cómo la inteligencia artificial ayudó a descubrir vulnerabilidades que llevaban años ocultas
Uno de los aspectos más relevantes del caso es la participación de herramientas de inteligencia artificial en las investigaciones. La PHP Foundation, organización que respalda el desarrollo del lenguaje, reconoció que durante una auditoría realizada en 2024 ya se habían identificado indicios de uno de los problemas. En aquel momento, los investigadores no habían conseguido demostrar una vía concreta para ejecutar código malicioso mediante esa falla. La situación cambió en 2026.
La empresa de seguridad Calif, dentro de una iniciativa coordinada por OpenAI, utilizó un modelo de IA para investigar el código de PHP y demostrar un escenario de ataque. Otros investigadores de OpenAI y la firma de ciberseguridad Wiz también identificaron y comunicaron problemas relacionados.
Las nuevas herramientas ayudaron a analizar comportamientos complejos del software y a desarrollar pruebas que permitieron comprender el verdadero alcance de los errores.
Los ataques de Black October
Una semana antes del incidente de PHP, Amazon Web Services había informado que sus sistemas de detección identificaron actividad sospechosa y detectó nuevos intentos de intrusión durante las horas previas y posteriores a la publicación de las correcciones. Sus investigadores aclararon que todavía no podían determinar si los primeros ataques habrían conseguido comprometer sistemas reales.
Cloudflare, una de las principales empresas de infraestructura y protección de sitios web, comunicó que registró actividad maliciosa contra estas fallas y desplegó mecanismos adicionales de defensa para sus clientes.
La magnitud de la amenaza provocó respuestas oficiales. La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó identificar todos los sistemas que utilizan versiones vulnerables de PHP y aplicar las actualizaciones de inmediato. y organismos de Canadá, Singapur y la Unión Europea también difundieron advertencias y medidas de protección.
El 23 de octubre se conoció, además, una tercera vulnerabilidad relacionada, identificada como CVE-2026-115560. Afortunadamente, los desarrolladores de PHP reaccionaron rápido y publicaron una medida de mitigación temporal hasta que esté disponible la corrección definitiva.
Por qué Black October podría marcar un cambio en la ciberseguridad
Más allá del problema puntual de PHP, el episodio abrió un debate sobre el futuro de la protección de sistemas informáticos. Durante años, descubrir y aprovechar determinadas vulnerabilidades requería conocimientos técnicos avanzados y largos períodos de investigación. Pero ahora, las herramientas de inteligencia artificial pueden reducir parte de ese esfuerzo, acelerar el análisis de código y facilitar la búsqueda de errores complejos.
Esa capacidad representa una ventaja para los investigadores que trabajan para proteger sistemas, aunque también podría beneficiar a grupos criminales interesados en desarrollar nuevas formas de ataque.
Black October muestra la dependencia de Internet de componentes de software compartidos por millones de organizaciones y la importancia de mantenerlos actualizados. También plantea un desafío para la industria: adaptar los procesos de descubrimiento, comunicación y corrección de vulnerabilidades a una etapa en la que la inteligencia artificial permite examinar sistemas a una velocidad cada vez mayor.