La IA encontró la falla antes que los atacantes.

El jueves 22 de octubre amaneció con sitios de gobiernos, hospitales y empresas fuera de línea en todo el mundo. No fue un ataque: fue una medida de precaución. La noche anterior, la PHP Foundation publicó los parches para dos vulnerabilidades críticas en PHP, el lenguaje que corre detrás de cerca del 70 % de los sitios web del planeta, y las agencias de seguridad (FBI, NSA, ENISA) recomendaron algo inédito: si no puedes actualizar de inmediato, apaga el sitio.

Las fallas, bautizadas PHP2Shell (CVE-2026-109618 y CVE-2026-109619, severidad 9,2 sobre 10), permiten a un atacante sin credenciales ejecutar código en el servidor. Llevaban más de una década escondidas en el código. Nadie las había encontrado. Hasta que un equipo de investigadores las buscó con modelos de IA de frontera.

El CEO de Cloudflare resumió lo que vino después: miles de intentos de explotación en las 10 horas previas al anuncio público y millones en las horas siguientes. Wikipedia desconectó parte de sus sistemas. La comunidad de ciberseguridad ya le puso nombre a la semana: Black October.

¿Por qué PHP2Shell es distinto?

Las vulnerabilidades no son nuevas. Lo nuevo es la velocidad. Wiz, una de las firmas que descubrió las fallas, lo describió con una frase que vale la pena guardar: un solo investigador logró en una semana lo que antes habría tomado meses a un equipo de primer nivel. La IA no solo encuentra la debilidad; la convierte en un exploit funcional.

Esa misma capacidad está en manos de los atacantes. Rapid7 reporta que en el tercer trimestre de 2026 las vulnerabilidades se explotan en promedio dentro de los 3 días posteriores a su publicación. Y esta vez hubo ataques antes del anuncio. La ventana entre «se conoce la falla» y «alguien ya la está usando contra ti» pasó de semanas a horas.

Para una institución financiera en Ecuador esto tiene tres consecuencias concretas:

1. Parchar ya no es un proceso mensual. Es una respuesta de emergencia que puede ocurrir cualquier miércoles por la noche.
2. No basta con saber qué tienes. Hay que saber, en tiempo real, qué de lo que tienes está expuesto a internet y con qué versión.
3. Tu exposición incluye a quienes no controlas. Tu core bancario, tu pasarela de pagos, tu proveedor de nómina y tu agencia de marketing corren sobre PHP, Java, .NET o lo que sea. La pregunta del jueves no era solo «¿ya parchamos?», sino «¿ya parcharon ellos?».

Tu perímetro no termina en tu firewall

La mayoría de las organizaciones vivió el jueves así: el equipo de TI confirmó que sus servidores estaban actualizados y respiró. Pocas se preguntaron por los 40, 80 o 200 terceros que tienen acceso a sus datos, sus APIs o sus redes.

Eso es un problema, porque los atacantes ya no entran por la puerta principal. Las campañas más graves de este mismo mes lo confirman: Microsoft atribuyó el compromiso de la cadena de suministro de ConnectWise Cloud Backup a un actor estatal que usó agentes de IA para ejecutar la intrusión. El vector no fue la víctima final; fue su proveedor.

En el sector financiero ecuatoriano la superficie de terceros es enorme y, en general, invisible: el procesador de tarjetas, el proveedor del canal digital, la empresa de cobranzas, el call center tercerizado, la firma de auditoría que recibe tus bases de datos, la agencia que administra tu sitio web en WordPress (que, por cierto, corre sobre PHP). Cada uno es una puerta a tus datos, y cada uno parcha a su propio ritmo.

El cuestionario anual de seguridad que les envías no responde la pregunta que importaba el jueves: hoy, a esta hora, ¿cuál de mis proveedores sigue expuesto?

Lo que cambia cuando monitoreas en continuo

RiskRecon, la plataforma de riesgo de terceros de Mastercard, responde exactamente esa pregunta. A partir del dominio de cada organización (la tuya y la de cada proveedor) observa directamente los sistemas expuestos a internet, sin instalar nada y sin pedirle permiso al tercero, y evalúa más de 32 criterios en 9 dominios de seguridad: parches de software, seguridad de aplicaciones, cifrado web, hospedaje, DNS, correo, filtrado de red, brechas y reputación.

En un episodio como PHP2Shell, eso se traduce en cuatro cosas que un cuestionario nunca te dará:

• Saber quién sigue expuesto, hoy. El dominio «parches de software» identifica las versiones que cada proveedor tiene publicadas en internet. No esperas a que te respondan el correo.
• Priorizar por impacto, no solo por severidad. La calificación pondera cada hallazgo según la criticidad del sistema donde está. Un servidor sin parchar que recibe pagos pesa más que uno que sirve el sitio de recursos humanos.
• Ver a las cuartas partes. Descubre y mapea a los proveedores de tus proveedores, que es donde suelen ocurrir los compromisos de cadena de suministro.
• Alertas por umbral. Cuando la calificación de un tercero cae por debajo de lo que definiste, lo sabes de inmediato desde el centro de alertas, y puedes compartirle un plan de remediación por el portal, sin costo para él.

Y empieza por casa: la misma calificación que verás de tus proveedores es la que ellos, tus reguladores y tus aseguradoras pueden ver de ti. Según el estudio de impacto económico de Forrester sobre RiskRecon, los clientes elevaron su propio puntaje un 62 % y el de sus terceros un 30 %, con una implementación operativa en 3 semanas.

Qué hacer esta semana

Aunque el episodio de PHP ya esté contenido, el siguiente llegará con el mismo patrón. Cinco acciones que no requieren presupuesto nuevo:

1. Confirma tu propia huella. Pide una calificación de ciberriesgo de tu organización. Si no sabes qué sistemas tuyos ven los atacantes desde internet, ellos sí.
2. Lista a tus terceros críticos. No los 200; los 15 o 20 que tocan datos de clientes, dinero o acceso a tu red. Con ese universo empieza el monitoreo.
3. Reemplaza la pregunta anual por una señal continua. El cuestionario sigue siendo útil para controles internos, pero la exposición externa se mide todos los días, no una vez al año.
4. Define umbrales y dueños. ¿Qué calificación es inaceptable para un proveedor con acceso a datos de tarjetas? ¿Quién lo llama cuando cae por debajo? Si eso no está escrito, el próximo jueves nadie lo hará.
5. Ensaya el escenario. Reúne a TI, riesgos y proveedores en una mesa y simula: «acaban de publicar una falla crítica en el stack de nuestro core, ¿qué hacemos en las próximas 6 horas?». Las brechas que aparecen ahí son más baratas de cerrar hoy.

La lección del Black October

La IA no creó la vulnerabilidad de PHP. La encontró, diez años después de que la escribieran, y la volvió explotable en días. Eso va a repetirse con cada pieza de software que usas y con cada proveedor que la usa contigo. La única defensa realista es ver tu exposición, y la de tu cadena de suministro, con la misma velocidad con la que hoy se descubren las fallas.

En Gruppo Avanti implementamos RiskRecon y la suite de ciberseguridad de Mastercard para instituciones financieras y empresas en Ecuador. Si quieres saber cómo se ve hoy tu calificación de ciberriesgo y la de tus proveedores críticos, escríbenos: la primera evaluación la hacemos contigo, sin compromiso.