El dinero llegó solo después de la crisis. Tras Heartbleed, una docena de empresas se comprometieron cada una con 100.000 dólares al año durante tres años a través de la Core Infrastructure Initiative, y dos desarrolladores de OpenSSL pasaron a dedicación completa.
Volver a la tendencia del día: Dos fallas en PHP permiten tomar sitios web ajenos; algunos se desconectaron por precaución
Ranking Poly · de la tendencia del día
Peores fallos de seguridad en internet: Log4j, Heartbleed, PHP 2026
Antes de Heartbleed, la biblioteca de cifrado que sostenía una gran parte de los servidores HTTPS de la web funcionaba con unos 2.000 dólares al año en donaciones, y siete años después, Log4Shell, calificada con un 10 perfecto, fue atacada al menos ocho días antes de su aviso público.
- N.º 1: Log4Shell (Log4j, CVE-2021-44228)
- 10 puestos
01Lista final
Las IA líderes armaron cada una su propia lista de diez, de forma independiente. Aquí hay un resultado fácil de comprobar: cada puesto tiene un motivo, una fuente y la lista de IA que lo incluyeron.
Orden: de mayor a menor acuerdo entre las IA.
Una etiqueta brillante significa que esa IA puso el elemento en su lista. Una tenue, que no.
- 1
Log4Shell (Log4j, CVE-2021-44228)
10,0 perfecto y sin necesidad de contraseña. Atacado desde el 1 de diciembre de 2021, ocho días antes del aviso. Mantenedores no remunerados: las fuentes dicen 3 o 16 voluntarios.
Lo incluyeron: Claude, Meta, Nemotron, Gemini. No lo incluyeron: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
Qué señaló cada IA 4
- Claudepuesto 1
Cloudflare registró una explotación exitosa el 1 de diciembre de 2021, al menos nueve días antes del aviso público, y el código lo mantenía un equipo de voluntarios al que la fundación de Apache no pagaba.
Fuente ↗ - Metapuesto 1
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
Fuente ↗ - Nemotronpuesto 6
Duplicate entry; see rank 1.
Fuente ↗ - Geminipuesto 1
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
Fuente ↗
4 IA lo pusieron aquí - 2
Heartbleed (OpenSSL, CVE-2014-0160)
Calificado solo con 5,0 (v2) o 7,5 (v3), pero filtraba claves privadas. Unos 600.000 servidores eran vulnerables, y unos 300.000 seguían siéndolo dos meses después. OpenSSL funcionaba con unos 2.000 dólares al año.
Lo incluyeron: Claude, Meta, Nemotron, Gemini. No lo incluyeron: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
Qué señaló cada IA 4
- Claudepuesto 2
CISA solo lo incluyó en su lista de vulnerabilidades explotadas el 4 de mayo de 2022, ocho años después de la corrección; y antes de la crisis, según se informó, la fundación detrás de OpenSSL tenía un solo empleado a tiempo completo y unos 2.000 dólares al año en donaciones.
Fuente ↗ - Metapuesto 2
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
Fuente ↗ - Nemotronpuesto 2
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Geminipuesto 2
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4 IA lo pusieron aquí - 3
Shellshock (GNU Bash, CVE-2014-6271)
Calificado con 10,0 (v2) y atacado a las pocas horas de su divulgación. El fallo estaba en un shell mantenido sobre todo por un solo mantenedor, Chet Ramey. CISA solo lo incluyó en su lista en 2022.
Lo incluyeron: Claude, Meta, Nemotron, Gemini. No lo incluyeron: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
Qué señaló cada IA 4
- Claudepuesto 3
Un fallo en el shell que corre detrás de incontables servidores web fue atacado en cuestión de horas tras su divulgación, pero CISA solo lo listó en enero de 2022.
- Metapuesto 4
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
Fuente ↗ - Nemotronpuesto 4
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Geminipuesto 4
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4 IA lo pusieron aquí - 4
PHP2Shell (PHP, CVE-2026-109618 y CVE-2026-109619)
Dos fallos de ejecución remota de código sin autenticación (9,2 en v4.0; 9,8 en v3.1 según un informe). Si hay ataques confirmados está en disputa, y no estaban en KEV al 21 de octubre.
Lo incluyeron: Claude, Meta, Nemotron, Gemini. No lo incluyeron: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
Qué señaló cada IA 4
- Claudepuesto 4
Una pista filtrada adelantó la corrección un día, y unos 884.000 hosts seguían informando PHP 8.1 o anterior, una línea de versiones que no recibe corrección oficial.
Fuente ↗ - Metapuesto 3
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
Fuente ↗ - Nemotronpuesto 3
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
Fuente ↗ - Geminipuesto 5
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4 IA lo pusieron aquí - 5
Puerta trasera de XZ Utils (CVE-2024-3094)
Calificado con 10,0, pero era una puerta trasera plantada, no un error. Requirió dos años de ganarse la confianza de un solo mantenedor y fue detectado por una ralentización de medio segundo en SSH antes de la distribución masiva.
Lo incluyeron: Claude, Meta, Gemini. No lo incluyeron: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 5 · Meta: 5 · Gemini: 3
Qué señaló cada IA 3
- Claudepuesto 5
Una toma de control, durante años, de un proyecto con un solo mantenedor fue detectada por casualidad por un ingeniero antes de llegar a la mayoría de las versiones estables de Linux.
Fuente ↗ - Metapuesto 5
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
Fuente ↗ - Geminipuesto 3
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
Fuente ↗
3 IA lo pusieron aquí - 6
Spring4Shell (Spring Framework, CVE-2022-22965)
Calificado con 9,8 y con un exploit público en 24 horas; CISA lo incluyó en su lista cuatro días después de la divulgación. A diferencia de la mayoría de estos, el proyecto tenía respaldo corporativo (VMware).
Lo incluyeron: Claude, Meta, Nemotron. No lo incluyeron: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 9 · Meta: 8 · Nemotron: 7
Qué señaló cada IA 3
- Claudepuesto 9
Presentada como sucesora de Log4Shell, llegó a la lista de CISA el 4 de abril de 2022 con un plazo de 21 días.
Fuente ↗ - Metapuesto 8
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
Fuente ↗ - Nemotronpuesto 7
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
Fuente ↗
3 IA lo pusieron aquí - 7
GHOST (glibc, CVE-2015-0235)
Un fallo de desbordamiento de memoria presente en casi todos los sistemas Linux desde el año 2000. Las IA le dan una puntuación de 10,0 (v2), 9,8 o 7,5, y corregirlo obligó a reiniciar todos los servicios de red.
Lo incluyeron: Meta, Nemotron, Gemini. No lo incluyeron: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Meta: 7 · Nemotron: 10 · Gemini: 9
Qué señaló cada IA 3
- Metapuesto 7
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
Fuente ↗ - Nemotronpuesto 10
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Geminipuesto 9
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3 IA lo pusieron aquí - 8
Apache Struts / Equifax (CVE-2017-5638)
El código de explotación apareció el día después del parche de marzo de 2017. Equifax aún perdió datos de 146,6 millones de personas (otra fuente dice 147,9 millones) por un solo servidor sin parchear.
Lo incluyeron: Claude, Meta. No lo incluyeron: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 7 · Meta: 6
Qué señaló cada IA 2
- Claudepuesto 7
Un parche salió el 6 de marzo de 2017, el código de explotación apareció al día siguiente, y Equifax aun así perdió datos de 146,6 millones de personas.
Fuente ↗ - Metapuesto 6
One unpatched Struts instance led to 147.9M people breached, patch available Mar 7 2017, exploited Mar 2017, Equifax breached May-July
Fuente ↗
2 IA lo pusieron aquí - 9
React2Shell (React Server Components, CVE-2025-55182)
Calificado con 10,0 y necesitaba una sola petición. Las IP expuestas en los escaneos de Shadowserver subieron de 77.664 a más de 137.200 en una semana, y más de 30 organizaciones fueron vulneradas (según una fuente).
Lo incluyeron: Claude. No lo incluyeron: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 6
Qué señaló cada IA 1
- Claudepuesto 6
Bastó una sola solicitud web diseñada, y la cantidad de direcciones IP expuestas en los escaneos de Shadowserver subió de 77.664 a más de 137.200 en una semana.
Fuente ↗
1 IA lo pusieron aquí - 10
Inyección de argumentos en PHP-CGI (CVE-2024-4577)
La emergencia anterior de PHP. Una banda de ransomware lo usó unos 2 días después de los arreglos de junio de 2024, y unos 250.000 servidores PHP de Windows quedaron expuestos (estimación de un proveedor).
Lo incluyeron: Claude. No lo incluyeron: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.En sus listas: Claude: 8
Qué señaló cada IA 1
- Claudepuesto 8
La conversión de caracteres «best-fit» de Windows permitía a desconocidos ejecutar código, y una banda de ransomware la usó en pocos días tras las correcciones de junio de 2024.
Fuente ↗
1 IA lo pusieron aquí
02Vale la pena saber
Lo que notaron las IA al armar la lista.
CISA añadió Heartbleed a su lista de vulnerabilidades explotadas en mayo de 2022, ocho años después de la corrección. Las fechas de KEV indican cuándo se armó la lista, no cuándo empezaron los ataques.
La puerta trasera de XZ pasó de errores accidentales a ingeniería social. Un operador pasó unos dos años ganando permisos de confirmación al 'ayudar' a un mantenedor solitario agotado.
Centro voluntarios mantuvieron Log4j en marcha es motivo de disputa: 16 voluntarios no remunerados según InfoWorld y Help Net Security, unos 3 según otras respuestas. Un año después, el mantenedor Ralph Goers seguía trabajando en él sin cobrar, junto a dos empleos de tiempo completo.
La cuota de PHP en la web se cifra en 69,3% (W3Techs, 21 de octubre de 2026, sitios con lenguaje de servidor conocido) y en 76-78% en otras respuestas. En cualquier caso, un fallo en el núcleo de PHP llega a más sitios que un fallo de WordPress o Drupal.
03Cómo lo calculamos
En palabras sencillas, sin fórmulas.
1La pregunta
Las 10 fallas principales en los cimientos ocultos de internet, desde Heartbleed hasta la emergencia actual de PHP
2Por qué este tema
Pone las fallas actuales de PHP en la misma línea que Heartbleed, Shellshock y Log4Shell, y compara la velocidad de ataque con la velocidad de parcheo, algo que ninguna lista única hace.
3Dónde aplica
Global; software de código abierto del que depende buena parte de internet
4Qué miramos
- Puntuación de gravedad y si un desconocido podría tomar el control sin contraseña
- Días desde la divulgación hasta los ataques confirmados
- Tiempo hasta que se parcheó la mayoría de los servidores expuestos en el mundo
- Tamaño y financiamiento del equipo voluntario que mantenía el software
- NIST National Vulnerability Database (NVD) — Puntuaciones de gravedad CVSS y si un fallo puede usarse sin contraseña
- Catálogo CISA Known Exploited Vulnerabilities (KEV) — Ataques reales confirmados, la fecha en que CISA incluyó cada fallo y el plazo federal de parche
- Escaneos de Shadowserver Foundation (según BleepingComputer) — IP expuestas a internet que siguen con código vulnerable después de un arreglo
- Retrospectiva de Censys sobre Log4j — Porcentaje de servidores de internet que seguían pareciendo vulnerables a Log4Shell a lo largo del tiempo
5Quién clasificó
Las IA líderes: Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. Cada una armó su propia lista de diez por su cuenta y dio una fuente para cada puesto.
6Cómo se fijaron los puestos
Lo mismo escrito de distinta forma por distintas IA se contó como una sola entrada. Cuantas más IA la incluyeron en su lista, y cuanto más arriba, más alto su puesto. «Acuerdo de las IA» muestra cuántas IA la tenían en su propia lista. Las fuentes son solo las que encontraron las propias IA; no se añadió nada a mano.
04La lista de cada IA
🇺🇸 Claude10 puestos · 4 notas
La misma pregunta, respondida solo por Claude. La lista final de arriba combina todas las IA.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
Cloudflare registró una explotación exitosa el 1 de diciembre de 2021, al menos nueve días antes del aviso público, y el código lo mantenía un equipo de voluntarios al que la fundación de Apache no pagaba.
Fuente ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
CISA solo lo incluyó en su lista de vulnerabilidades explotadas el 4 de mayo de 2022, ocho años después de la corrección; y antes de la crisis, según se informó, la fundación detrás de OpenSSL tenía un solo empleado a tiempo completo y unos 2.000 dólares al año en donaciones.
Fuente ↗ - 3Shellshock (GNU Bash, CVE-2014-6271, 2014)
Un fallo en el shell que corre detrás de incontables servidores web fue atacado en cuestión de horas tras su divulgación, pero CISA solo lo listó en enero de 2022.
- 4PHP2Shell (PHP, CVE-2026-109618 y CVE-2026-109619, octubre de 2026)
Una pista filtrada adelantó la corrección un día, y unos 884.000 hosts seguían informando PHP 8.1 o anterior, una línea de versiones que no recibe corrección oficial.
Fuente ↗ - 5Puerta trasera en XZ Utils (CVE-2024-3094, 2024)
Una toma de control, durante años, de un proyecto con un solo mantenedor fue detectada por casualidad por un ingeniero antes de llegar a la mayoría de las versiones estables de Linux.
Fuente ↗ - 6React2Shell (React Server Components, CVE-2025-55182, diciembre de 2025)
Bastó una sola solicitud web diseñada, y la cantidad de direcciones IP expuestas en los escaneos de Shadowserver subió de 77.664 a más de 137.200 en una semana.
Fuente ↗ - 7Apache Struts / Equifax (CVE-2017-5638, 2017)
Un parche salió el 6 de marzo de 2017, el código de explotación apareció al día siguiente, y Equifax aun así perdió datos de 146,6 millones de personas.
Fuente ↗ - 8Inyección de argumentos en PHP-CGI (CVE-2024-4577, 2024)
La conversión de caracteres «best-fit» de Windows permitía a desconocidos ejecutar código, y una banda de ransomware la usó en pocos días tras las correcciones de junio de 2024.
Fuente ↗ - 9Spring4Shell (Spring Framework, CVE-2022-22965, 2022)
Presentada como sucesora de Log4Shell, llegó a la lista de CISA el 4 de abril de 2022 con un plazo de 21 días.
Fuente ↗ - 10Drupalgeddon2 (núcleo de Drupal, CVE-2018-7600, 2018)
Una ejecución remota de código en Drupal que todavía se estaba añadiendo a la lista de parches obligatorios de CISA en noviembre de 2021, más de tres años después.
Fuente ↗
Lo que notó Claude
CISA añadió Heartbleed a su lista de vulnerabilidades explotadas en mayo de 2022, ocho años después de que se corrigiera el fallo. Las fechas de esa lista reflejan cuándo se armó la lista, no cuándo empezaron los ataques, así que son un mal reloj para fallas de la época de 2014.
La puntuación NVD de Heartbleed fue solo 5,0 (CVSS v2), porque el método antiguo de puntuación contaba el impacto en el servidor, aunque expuso contraseñas y claves privadas. Log4Shell obtuvo 10,0, y el proyecto que lo mantenía tenía 16 voluntarios sin pago.
El dinero llegó después de la crisis. Tras Heartbleed, una docena de empresas se comprometió a aportar 100.000 dólares al año cada una, durante tres años, a través de la Core Infrastructure Initiative, y dos desarrolladores de OpenSSL pasaron a tiempo completo.
Un año después de Log4Shell, se informó (en un reportaje en español) que Ralph Goers seguía con dos empleos a tiempo completo, siendo Log4j su trabajo no remunerado. Su número de patrocinadores en GitHub Sponsors subió de 3 a 31.