Un correo sin una sola falta, una voz igual a la del rector y un Aula virtual que lleva dos años sin actualizarse. Nadie nota ninguno de los tres hasta que el daño está hecho. Aquí explicamos cómo la inteligencia artificial (IA) y los fallos del software tocan a la escuela y a la universidad, y qué se puede hacer esta misma semana.
Una ponencia y un protocolo: VIDA
El 15 de octubre de 2026 publicamos en el canal de Docentes 2.0 la ponencia que presenté en el XV Congreso Internacional EDUTICINNOVA 2026: «Ciberseguridad Integral en la Era Digital: Inteligencia Artificial, Arquitecturas de Confianza y Cultura de Protección del Riesgo». Dura 40 minutos.
Enseñar a no abrir enlaces sospechosos ya se quedó corto. Hoy necesitamos que estudiantes, docentes y personal administrativo sepan verificar identidades, leer el contexto de un mensaje, reconocer qué intención esconde y comprobar si es auténtico antes de actuar.
¿Por qué? Porque la IA borró las pistas con las que aprendimos a sospechar. Durante años, un correo fraudulento se delataba solo, con faltas de ortografía, un logotipo pixelado o un tono raro. Ahora llega impecable. En la ponencia describo cuatro formas en que la IA multiplica el fraude: la escala, porque se envían miles de mensajes a la vez; la velocidad, porque se preparan en minutos; la personalización, porque cada uno parece escrito para quien lo recibe; y la suplantación de voces, rostros y estilos de escritura.
Los casos educativos se repiten. Un aviso falso de beca. Un mensaje «del rector» que pide un pago urgente antes de entrar a una reunión. Un código QR pegado encima del original en un evento universitario, o en la descarga de un certificado. Una llamada con la voz clonada de un directivo.
Frente a eso propongo el Protocolo VIDA: Verificar, Identificar, Desconfiar, Autenticar. Son cuatro pasos antes de responder, pagar o hacer clic. Tres frases de la charla ayudan a recordarlo: «la urgencia es emergencia de verificación», «el contenido puede convencer, el procedimiento debe confirmar» y «la personalización no demuestra autenticidad». Que un mensaje sepa tu nombre, tu curso y tu cargo solo prueba que alguien buscó esos datos.
Además de las personas, el software
Seis días después llegó una alerta de otra naturaleza. El 21 de octubre de 2026, el proyecto PHP publicó un aviso de seguridad y las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen dos vulnerabilidades críticas: CVE-2026-109618 y CVE-2026-109619. (Un CVE es el número con el que se registra públicamente un fallo de seguridad.) Las dos tienen una gravedad de 9,2 sobre 10 en la escala CVSS v4.0.
Permiten ejecutar código a distancia sin autenticación. Dicho en llano, alguien de fuera, sin usuario ni contraseña, podría tomar el control del servidor, que es la computadora donde vive la plataforma. PHP.net es tajante: no hay mitigaciones completas y la única opción segura es actualizar. Hay otro dato que conviene anotar. La rama 8.2 deja de tener soporte el 31 de diciembre de 2026, y la 8.1 y las anteriores ya no reciben actualizaciones regulares, salvo parches mínimos puntuales para 7.4, 8.0 y 8.1.
El FBI también difundió la alerta en su página oficial de Facebook. Pide cuatro cosas: actualizar de inmediato siguiendo php.net, hacer un inventario de dónde funciona PHP (primero lo que está expuesto a internet y los productos de terceros que lo traen incluido), vigilar los servidores web por si aparece actividad sospechosa y, si no se puede actualizar ya, desconectar el sistema hasta corregirlo. Los incidentes se reportan en www.ic3.gov.
¿Qué tiene que ver esto con una escuela? Mucho. PHP es el lenguaje que hay debajo de buena parte de las plataformas educativas. W3Techs lo registra como lenguaje de servidor en el 69,3 % de los sitios web cuyo lenguaje se conoce (consulta del 22 de octubre de 2026). WordPress, el gestor de muchas webs institucionales, funciona en el 39,6 % de todos los sitios web. Moodle, el aula virtual más extendida, tiene 148.334 sitios registrados en 237 países según sus estadísticas oficiales. Open Journal Systems (OJS), con el que se gestionan revistas científicas, lo usan más de 44.000 revistas según el Public Knowledge Project (PKP). Todas esas plataformas, y muchos repositorios institucionales, están hechas con PHP.
Esas cifras miden cuánto software educativo depende de PHP. Cuántos sitios están afectados hoy es otra pregunta, y para ella no encontramos ninguna fuente fiable. Por eso cada institución debería revisar sus instalaciones esta semana.
Por qué no basta con una plataforma coherente
Una plataforma coherente tiene un diseño claro, recorridos bien pensados y aulas ordenadas, y al estudiante le resulta agradable. Todo eso es necesario y todo eso es fachada. Por dentro corre software que alguien tiene que mantener, y hay tres motivos para hacerlo con prisa.
El software envejece. Pasa como con una casa recién pintada con la cerradura rota. Una versión sin soporte deja de recibir correcciones aunque el aula virtual se vea moderna, y las instituciones con sistemas heredados tardan meses en actualizar. Ese retraso es justo la ventana que buscan los atacantes.
La IA trabaja también para quien ataca. Redacta fraudes convincentes en segundos y facilita encontrar, a gran escala, servidores que nadie actualizó. Produce además textos que parecen fiables y no lo son, como referencias bibliográficas inventadas que llegan a manuscritos enviados a revistas académicas. Y a los asistentes de IA llegan a veces datos de estudiantes que nadie decidió proteger.
Lo que está en juego es delicado. Pensemos en un aula virtual caída en plena semana de exámenes, en notas alteradas, en datos personales de estudiantes publicados o en una revista científica comprometida. Cada uno de esos casos golpea la confianza de familias, estudiantes y autores, que es lo que más le cuesta recuperar a una institución educativa.
Lo dije en la ponencia y lo repito: «una buena cultura de ciberseguridad no se construye con miedo, sino con responsabilidad, formación y capacidad de respuesta».
Pautas prácticas
Para instituciones
- Inventario de plataformas y versiones. Una lista con cada sistema (aula virtual, revistas, webs, repositorios), su versión de PHP y la persona responsable.
- Parches con plazo y responsable. Cada actualización crítica lleva un nombre y una fecha límite. Si el proveedor todavía no la ofrece, pregúntele por escrito cuándo lo hará.
- Copias de seguridad probadas. Una copia que nunca se restauró es una suposición. Pruebe la restauración y guarde copias fuera del servidor principal.
- Doble factor en las cuentas de gestión. Administradores y editores confirman su identidad con un segundo paso además de la contraseña.
- Protocolos para pagos y cambios sensibles. Un pago urgente o un cambio de cuenta bancaria nunca depende de una sola persona ni de un solo mensaje.
- Política de uso de IA con datos de estudiantes. Qué datos nunca se introducen en un asistente de IA y qué herramientas están autorizadas.
- Plan de respuesta y de comunicación. Quién decide, a quién se avisa y cómo se informa a estudiantes y familias, decidido antes de que algo salga mal.
- Canal para reportar sin castigo. Un correo o formulario sencillo y la garantía de que avisar de un error no se sanciona. Cuanto antes llega el aviso, menos daño hay que contener.
Para docentes
- VIDA ante todo lo urgente. Confirme por un segundo canal (una llamada a un número que ya conoce) cualquier petición de pago, de contraseña o de datos.
- Contraseñas únicas, gestor y equipos al día. Una contraseña distinta por servicio guardada en un gestor de contraseñas, doble factor activado, y la computadora y el celular actualizados.
- Revise lo que produce la IA. Antes de usar una referencia, abra el DOI o la URL y compruebe que la obra existe y dice lo que se le atribuye.
Lista de comprobación
- ☐ Tengo el inventario de plataformas y sus versiones de PHP.
- ☐ Cada actualización crítica tiene responsable y fecha.
- ☐ La última restauración de una copia de seguridad salió bien.
- ☐ Las cuentas de gestión tienen doble factor.
- ☐ Los pagos y cambios sensibles requieren dos personas y un segundo canal.
- ☐ Hay una política escrita sobre IA y datos de estudiantes.
- ☐ Existe un plan de respuesta y un canal de reporte sin sanción.
- ☐ El equipo conoce el Protocolo VIDA.
Antes de responder, pagar o hacer clic
El fraude con IA y el fallo de PHP llegaron con seis días de diferencia, y los dos se aprovechan de una confianza que damos por hecha. Se corrigen igual, con procedimientos que confirman. Si hoy solo puede hacer una cosa, pregunte a su área de tecnología qué versión de PHP usan sus plataformas y qué día está prevista la actualización. Y cuando llegue el próximo mensaje urgente, aplique VIDA: Verificar, Identificar, Desconfiar, Autenticar.
La ponencia completa está aquí: https://youtu.be/uXQS5RYrWis
Si investiga en tecnología educativa, la Revista Tecnológica-Educativa Docentes 2.0 recibe manuscritos sobre estos temas.
Referencias
Federal Bureau of Investigation. (2026, octubre). Two critical vulnerabilities have been identified in PHP [Publicación]. Facebook. https://www.facebook.com/story.php?story_fbid=1540010264839201&id=100064907253444
Moodle. (s. f.). Moodle statistics. Recuperado el 22 de octubre de 2026, de https://stats.moodle.org/
Mujica-Sequera, R. (2026, 15 de octubre). Ciberseguridad integral en la era digital: Inteligencia artificial, arquitecturas de confianza y cultura de protección del riesgo [Video]. YouTube. https://youtu.be/uXQS5RYrWis
Public Knowledge Project. (s. f.). Open Journal Systems. Recuperado el 22 de octubre de 2026, de https://pkp.sfu.ca/software/ojs/
The PHP Group. (2026, 21 de octubre). Security advisory: Critical remote code execution vulnerabilities, update now. PHP.net. https://www.php.net/archive/2026.php#2026-10-21-5
W3Techs. (2026). Usage statistics of PHP as server-side programming language on websites. Recuperado el 22 de octubre de 2026, de https://w3techs.com/technologies/details/pl-php
W3Techs. (2026). Usage statistics and market share of WordPress. Recuperado el 22 de octubre de 2026, de https://w3techs.com/technologies/details/cm-wordpress
Sigue la conversación
Compartimos los artículos nuevos, las convocatorias de la Revista Tecnológica-Educativa Docentes 2.0 (RTED) y los avisos de nuestros congresos y seminarios. Elige el canal que prefieras.
- Canal de TelegramArtículos, convocatorias y avisos, con el archivo completo siempre disponible.Unirme en Telegram (se abre en una pestaña nueva)
- Canal de WhatsAppEs un canal, no un grupo: nadie ve tu número y no recibes mensajes de otras personas.Unirme en WhatsApp (se abre en una pestaña nueva)
Solo publicamos nosotros y puedes dejar de seguirlos cuando quieras.
