La web encontró una puerta abierta y casi nadie le avisó a la Argentina

A veces uno abre la puerta de casa, ve que la cerradura no cierra y sigue caminando como si nada. Esta semana, la tecnologíaó: un modelo de inteligencia artificial a PHP con fallas críticas. PHP es el lenguaje que sostiene aproximadamente siete de cada diez sitios web del mundo. O sea, no se trata de una falla cualquiera: es como descubrir que la llave delón quedó pegada en la cerradura.

La novedad tiene dos caras. Por un lado, la velocidad con la que los agentes de inteligencia artificial pueden rastrear vulnerabilidades supera con creces la capacidad humana. Por el otro, las alertas coordinadas de Estados Unidos, Reino Unido, Japón y varios países europeos obligaron a que los servidores afectados se pusieran al día en un margen mínimo.

Qué es una vulnerabilidad y por qué importa

Una vulnerabilidad es una brecha por la que actores maliciosos pueden ingresar a un sistema, extraer datos privados, modificarlos o acceder a infraestructura crítica. Traducido a la casa: es esa puerta trasera que nadie usa, pero que sigue abierta. El riesgo iba de municipios y gobiernos provinciales hasta plataformas de pequeñas empresas y enciclopedias colaborativas. No había un solo tipo de víctima; había una lista larga.

Según quienes participaron, la campaña conocida como Emparchar al Planeta fue una de las respuestas más grandes y rápidas de la historia reciente en ciberseguridad. OpenAI coordinó el trabajo junto a investigadores y al equipo responsable de PHP. Los desarrolladores publicaron actualizaciones de seguridad y técnicos de todo el mundo salieron a instalarlas en los servidores. Yo, cuando actualizo una aplicación, tardo semanas en apretar el botón. Así que la escala del operativo merece un respeto considerable.

• Los governments de Estados Unidos, Reino Unido, Japón y países europeos emitieron alertas oficiales entre el martes y el miércoles.
• Algunos suspendieron temporalmente servicios para evitar ataques mientras completaban las actualizaciones.
• En Argentina, los organismos con sistemas afectados reaccionaron por decisión propia de sus equipos técnicos, sin un lineamiento general.

El contraste con Argentina es el punto más incómodo. El Centro Nacional de Ciberseguridad, presentado en mayo de 2025, no publicó alertas en sus redes ni en su sitio web. El sitio figura en construcción desde el día de su lanzamiento. Fuentes gubernamentales reconocieron que no hubo un lineamiento general y que no existe garantía de que todos los sistemas afectados hayan quedado protegidos. Es como organizar una alarma antisísmos y dejar el módem sin conectar.

“No hubo un lineamiento general: algunas entidades respondieron por decisión propia de sus equipos técnicos, sin que exista garantía de que todos los sistemas afectados quedaran protegidos.”Fuentes gubernamentales

El contexto interno del organismo complica todavía más el panorama. El CNC tenía programado su primer evento público para el martes 20 en el Centro Cultural de la Ciencia. La noche anterior, los organizadores renunciaron, en medio de una crisis institucional que incluye la presentación de las renuncias de sus dos principales autoridades. Una estructura de coordinación la voz, el timbre y la agenda. Dificultad de manual.

El episodio deja una lección que no necesitaubernetes: la detección automática de fallas funciona, pero no alcanza si nadie la convierte en una alerta clara, con un canal abierto y responsabilidades asignadas. La inteligencia artificial encontró la puerta abierta. El problema fue quién tenía la obligación de avisarte que estaba ahí.

Si sos responsable de un sistema, no esperes la próxima campaña global: revisá las actualizaciones de seguridad de PHP y de tu servidor, y confirmá quién se ocupa de instalarlas. Y si administrás un organismo público, publicá el aviso aunque el sitio esté en construcción. Para eso, en teoría, existe.