Lo que necesitas saber:
- La IA ayuda a encontrar fallas graves de software con mayor rapidez y a menor costo.
- PwnEscape y php2shell afectaron infraestructura básica de hosting en octubre de 2026.
- Aplicamos parches a todos los hosts VPS y VDS, lo que exigió reiniciar toda la flota.
- Ningún sistema de Contabo ni servidor de clientes mostró señales de vulneración.
- Si ejecutas PHP en tu propio servidor, actualízalo ahora.
Si te parece que este año han llegado alertas graves de seguridad con mayor frecuencia, no es tu imaginación. Durante el último año, la IA ha mejorado de forma drástica su capacidad para encontrar fallas de seguridad. Muchas de las que está descubriendo existen desde hace mucho más tiempo de lo que podrías pensar.
En abril, Anthropic anunció que su modelo Mythos había encontrado miles de vulnerabilidades en todos los sistemas operativos y navegadores web principales. Una llevaba 27 años sin detectarse en OpenBSD. Mozilla lo usó para encontrar y corregir 271 bugs en Firefox. Pocas semanas después, el AI Security Institute del Reino Unido informó que GPT-5.5 de OpenAI, disponible para cualquier persona, tenía una capacidad similar. Desde entonces, equipos de investigación más pequeños han reproducido resultados parecidos con modelos más baratos.
Como todas las empresas que se toman en serio la seguridad, recibimos con apertura la divulgación responsable de vulnerabilidades. Encontrar y corregir fallas fortalece el ecosistema tecnológico. Sin embargo, en las últimas semanas vimos que el tiempo entre el descubrimiento, la divulgación y la explotación activa se redujo mucho. En algunos casos, quedó en cuestión de horas.
En octubre, esa tendencia alcanzó dos veces en una semana nuestra infraestructura y la de todos los proveedores de hosting. Una falla del kernel de Linux llamada PwnEscape exigió aplicar un parche que implicaba reiniciar cada host VPS y VDS que operamos. Seis días después, dos fallas de PHP conocidas como php2shell obligaron a implementar actualizaciones de emergencia en gran parte de la web. Investigadores que trabajaban con IA encontraron ambas.
Creemos que esta será la nueva normalidad para cualquiera que ejecute software en internet. Queremos explicar las razones, porque pueden ser más tranquilizadoras de lo que sugieren los titulares.
¿Por qué está ocurriendo ahora?
Durante casi toda la historia del software, una gran cantidad de código se mantuvo a salvo por una razón poco favorecedora: nadie con los conocimientos necesarios tuvo tiempo para revisarlo a fondo.
Encontrar una vulnerabilidad grave exige conocimientos poco comunes y mucha paciencia. Hay pocas personas con ambas cualidades. Suelen dedicar su tiempo a los objetivos más grandes, como navegadores web y sistemas operativos de celulares, donde un exploit funcional tiene mayor valor. Muchos programas de uso extendido nunca habían recibido esa atención. El investigador de seguridad Thomas Ptacek lo expresó bien a principios de este año: además de una buena ingeniería, nos ha protegido «la escasez de atención especializada». Las fallas siempre estuvieron ahí. Todavía no sabíamos que existían.
La IA eliminó esa escasez. Un modelo de lenguaje no se cansa ni se aburre y ya reconoce los patrones habituales de las vulnerabilidades. Puede analizar cualquier base de código disponible. El equipo de pwn.ai que encontró PwnEscape afirma que solo necesitó tres días y menos de $700 en costos de cómputo. Las fallas de PHP llevaban más de una década en el lenguaje. Wiz Research, que las descubrió, indicó que antes un equipo experto habría tardado meses en convertirlas en un ataque funcional. Con ayuda de la IA, un investigador lo hizo en una semana.
El código no empeoró de repente. Simplemente empezó a recibir más atención y entonces aparecieron las grietas.
Buenas noticias, con una condición
Los atacantes pueden usar los mismos modelos de IA que los investigadores emplearon para encontrar estas vulnerabilidades. Ningún especialista serio afirma lo contrario. Bruce Schneier, una de las voces más respetadas en seguridad informática, espera años difíciles: más fallas descubiertas, más ataques y actualizaciones mucho más frecuentes para casi todo lo que usamos.
Pero las dos fallas de octubre fueron descubiertas por personas que buscaban corregirlas antes de que los atacantes pudieran usarlas. pwn.ai informó en privado sobre PwnEscape a los responsables del kernel de Linux y propuso parches. Después esperó unas seis semanas mientras se revisaba la corrección antes de divulgar información. Wiz mantuvo reservadas las fallas de PHP durante dos meses mientras se preparaba una corrección. También trabajó con Cloudflare, AWS, Google y Microsoft para que las instrucciones estuvieran listas el día de la divulgación. Cada falla encontrada de esta manera deja de ser una herramienta que alguien podría usar en secreto contra ti.
A largo plazo, Schneier cree que la misma tecnología inclinará la balanza a favor de los defensores, conforme la IA aprenda a escribir código seguro desde el principio. Creemos que probablemente tiene razón.
Existe una condición, y está en la palabra «corregida». Encontrar y corregir una falla solo te protege cuando instalas el parche. Ahí fue donde octubre causó interrupciones para nosotros y para buena parte de internet.
Qué ocurrió en octubre desde nuestra perspectiva
PwnEscape era una falla en el código de red del kernel de Linux que podía permitir que una máquina virtual leyera la memoria del servidor físico subyacente. En hardware de hosting compartido, eso incluye memoria de otros clientes. Para nosotros, era una falla de máxima gravedad.
Nuestro monitoreo de amenazas detectó los primeros detalles de esta vulnerabilidad el 4 de octubre, cuando se filtraron en redes sociales. No hubo una corrección disponible hasta la divulgación oficial del 15 de octubre. Mientras tanto, seguimos el caso de cerca y probamos en nuestros sistemas el código de prueba de concepto que empezó a circular. Ninguna prueba logró una explotación total. Cuando se publicó el parche y nuestro equipo de plataformas terminó de probarlo, iniciamos el despliegue el sábado 17 de octubre. Para el lunes, habíamos actualizado el 99% de la flota VPS y VDS.
Un parche del kernel no puede aplicarse sin reiniciar el host físico. Por eso tus servidores se reiniciaron con tan poco aviso. Una cantidad reducida de hosts no volvió a funcionar correctamente y nuestros ingenieros tuvieron que recuperarlos de forma manual. Para esos clientes, esto provocó una interrupción más larga con poco aviso. Queremos disculparnos nuevamente por ello.
php2shell avanzó mucho más rápido. El 21 de octubre, el proyecto PHP publicó correcciones para dos fallas que permitían ejecutar código en un servidor sin iniciar sesión. Aplicamos las medidas de mitigación recomendadas en cuestión de horas, pero al final de la mañana surgieron informes confiables de que no bastaban. Desconectamos varios sistemas expuestos, incluido el Customer Control Panel heredado y nuestros servidores heredados de Web Hosting restantes. Los mantuvimos fuera de línea hasta que llegaron los parches definitivos esa tarde. El proyecto PHP confirmó después que no existían medidas de mitigación totales y que actualizar era la única solución real.
No observamos señales de intentos de explotación ni de ataques exitosos en nuestros sistemas durante ninguno de los incidentes.
La parte de tu servidor que solo tú puedes actualizar
Las dos fallas de octubre quedaron en lados opuestos de una línea de responsabilidad.
PwnEscape estaba en software que operamos: los sistemas host que funcionan debajo de tu servidor. No tuviste que hacer nada.
php2shell es diferente para la mayoría de los clientes. En un VPS, VDS o Dedicated Server, tú controlas el sistema operativo y todo lo instalado en él. No tenemos acceso y tampoco querrías que un proveedor de hosting lo tuviera. Actualizamos cada instalación de PHP que administramos. Si ejecutas PHP en tu propio servidor, incluso mediante tu propia instalación de cPanel, tú debes aplicar esa actualización.
Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Si usas PHP 8.1 o una versión anterior, el proyecto PHP ya no publica actualizaciones para esa rama. Comprueba si tu distribución de Linux ofrece una corrección retroportada. PHP 8.2 también llegará al final de su vida útil el 31 de diciembre de 2026, así que conviene planear una actualización.
Esta división de responsabilidades tendrá más peso durante los próximos años. Si Schneier y otros especialistas tienen razón, habrá un flujo constante de actualizaciones de seguridad para el software de tu servidor. Las fallas se encontrarán de cualquier forma. El daño que puedan causarte dependerá principalmente de la rapidez con la que instales las correcciones. Para la mayoría de los clientes, activar las actualizaciones automáticas de seguridad del sistema operativo es la protección más sencilla disponible.
Habrá más casos como estos
Podemos esperar que aparezcan más vulnerabilidades graves casi de un día para otro, como ocurrió con estas. Algunas estarán en nuestra infraestructura y las corregiremos, en ocasiones con poco aviso cuando el riesgo lo justifique. Otras estarán en el software que tú ejecutas.
Nuestro equipo de seguridad monitorea las 24 horas los avisos de proveedores, las listas de correo de seguridad, las redes sociales y las alertas de organismos como el BSI de Alemania y el NCSC del Reino Unido. Además, evalúa cada problema grave en cuanto aparece. Ahora pueden pasar solo unas horas entre la divulgación pública de una falla y el primer intento de explotación. Nuestra respuesta también debe medirse en horas. Cuando la situación no está clara, preferimos actuar pronto y priorizar la seguridad. El 21 de octubre, eso implicó desconectar sistemas antes de que alguien pudiera confirmar que era necesario. Al final, sí lo era.
Con cada incidente de este tipo, aprenderemos a responder mejor. Aun así, es muy posible que tengamos que tomar decisiones similares otra vez y que se produzcan interrupciones imprevistas para proteger la seguridad. Vigilaremos estas situaciones de cerca y trabajaremos para reducir cualquier interrupción. Sobre todo, te informaremos lo antes posible y compartiremos actualizaciones hasta resolver el incidente. Durante un incidente, publicamos novedades en tiempo real en nuestra página de estado e instrucciones más detalladas en nuestro centro de ayuda.
Gracias por confiar en nosotros para alojar tu infraestructura.
Preguntas frecuentes
¿Mi servidor fue vulnerado?
No observamos evidencia de intentos de explotación ni de ataques exitosos en ningún sistema de Contabo durante los dos incidentes. Monitoreamos nuestros sistemas de cerca para detectar precisamente eso. No podemos ver qué se ejecuta dentro de un servidor que tú controlas, así que no podemos confirmar su estado. Si quieres comprobar tu sistema, revisa los logs del periodo de divulgación y busca procesos o conexiones salientes inesperados.
¿Por qué se reinició mi VPS sin aviso?
Aplicar el parche del kernel para PwnEscape exigía reiniciar el host físico donde se ejecuta tu VPS. La falla afectaba a toda la flota. Esperar las ventanas de mantenimiento programadas o enviar avisos individuales habría dejado expuestos a todos los clientes durante más tiempo. Publicamos el avance en nuestra página de estado durante todo el proceso. Sabemos que los reinicios imprevistos causan interrupciones y no tomamos esta decisión a la ligera.
¿Todavía tengo que actualizar PHP por mi cuenta?
Sí, si ejecutas PHP en un VPS, VDS o Dedicated Server. Actualiza a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, según tu rama. Corregimos nuestra infraestructura y las versiones de PHP de nuestros servidores heredados de Web Hosting restantes. Sin embargo, no administramos el sistema operativo de un servidor que tú controlas, así que tú debes aplicar esa actualización.
¿La IA hace que el hacking sea más peligroso?
A corto plazo, probablemente sí. Los atacantes pueden usar los mismos modelos que los investigadores, y se ha reducido el tiempo entre la divulgación pública de una falla y los intentos de explotación. A largo plazo, muchos especialistas en seguridad esperan que la IA favorezca a los defensores, porque las mismas herramientas ayudarán a los desarrolladores a encontrar y corregir fallas antes de publicar el software.
¿Debo esperar más incidentes como estos?
Sí. La IA ha reducido mucho el costo de encontrar vulnerabilidades graves, y una gran cantidad de software de uso extendido nunca se había examinado con tanta atención. Espera actualizaciones de seguridad más frecuentes, tanto de nuestra parte como de los proveedores de software que usas. Instálalas cuanto antes y activa las actualizaciones automáticas de seguridad cuando sea posible.
