En un análisis publicado por Xataka el 22 de octubre de 2026, la crisis de PHP se presenta como un ejemplo especialmente grave de la fragilidad de la infraestructura de software que sostiene internet. PHP se ejecuta en servidores y sirve para generar páginas dinámicas. Está presente en aproximadamente el 70 % de los sitios web. Un fallo en su núcleo puede alcanzar muchas aplicaciones, aunque su código esté bien escrito. Los sistemas operativos, los navegadores y el software de servidor contienen numerosas vulnerabilidades. Algunas permanecen ocultas durante años.

OpenAI, Google y otros laboratorios de IA están usando modelos avanzados para localizar vulnerabilidades de PHP. Estos sistemas sirven para preparar pruebas de explotación y validar las correcciones propuestas por los ingenieros. El análisis subraya el doble uso de esta capacidad. La IA puede sacar a la luz debilidades estructurales, pero también reducir el tiempo y los conocimientos necesarios para convertir un fallo conocido en un ataque eficaz. El lanzamiento de Mythos Preview por Anthropic a principios de abril aparece como un antecedente de este debate.

Según el texto, las vulnerabilidades de la crisis pueden permitir ejecutar código de forma remota sin autenticación. Organizaciones públicas y privadas desconectaron parte de su infraestructura el día anterior a la publicación para limitar el riesgo. Un servidor comprometido podría exponer datos sensibles o interrumpir servicios esenciales como la banca o la gestión de citas hospitalarias. Las prestaciones por desempleo también estarían en riesgo.

El porcentaje de sitios que usan PHP no equivale al número de intrusiones. Hay que separar los sitios con PHP de los que ejecutan una versión y una configuración vulnerables. El tercer grupo está formado por los que realmente han sido comprometidos. Todavía no se conocía cuántos ataques habían tenido éxito. Esa cifra podría conocerse en las semanas siguientes.