Trump y la demanda por el Senado de Alaska; fallas en PHP

Javiera Hay una demanda que ha puesto a hablar a medio mundo en Estados Unidos, y tiene que ver con quién puede certificar una elección y con qué argumentos. Antes de opinar sobre cualquier cosa, quiero entender qué pasó. Agustín, ¿qué fue lo que presentó el gobierno y dónde?

Agustín El Departamento de Justicia presentó una demanda en una corte federal de Anchorage, Alaska, el jueves 22 de octubre de 2026. Busca impedir que funcionarios de Alaska certifiquen la elección al Senado del 3 de noviembre si el titular republicano pierde en condiciones que el departamento atribuye a confusión de los votantes. Al día siguiente, en Florida, Donald Trump dijo a reporteros que él había ordenado la presentación.

Javiera Sigo sin entender qué confunde a los votantes. En mi cabeza, uno vota por el nombre que quiere y listo. ¿Quiénes compiten?

Agustín Compite el senador republicano Dan Sullivan, en el escaño desde 2015, contra la demócrata Mary Peltola, exrepresentante en el Congreso. Pasaron otros dos por el sistema de primarias de los cuatro principales de Alaska, donde avanzan los cuatro más votados sin importar partido. Uno es Gerald Heikes. El otro es Daniel J. Sullivan Jr., maestro jubilado de Petersburg, republicano registrado, que aparece en la boleta sin etiqueta de partido. El senador aparece como republicano y como titular.

Javiera Ah, o sea que comparten apellido. Imagino a alguien apurado marcando al Sullivan equivocado. Pero ¿qué pide exactamente la demanda? Porque bloquear una certificación entera suena a algo enorme, y quiero saber si se refiere a todo el resultado o a una parte.

Agustín Pide a la corte que bloquee la certificación de cualquier resultado que pueda haber sido afectado por confusión, mientras se investiga si votos destinados a un candidato fueron a otro. En concreto, que sea ilegal una certificación donde el senador pierda, pero hubiera ganado si cada voto de Daniel J. Sullivan hubiera ido al senador y el conteo por orden de preferencia hubiera seguido. Ese conteo, donde cada elector ordena a los candidatos, empezaría el 18 de noviembre, tras la fecha límite para boletas del extranjero.

Javiera Entonces el argumento depende de adivinar a quién habrían votado esas personas, y eso no se puede comprobar con ninguna boleta. Me cuesta ver cómo una corte sacaría esa cuenta. Y además me pregunto en qué ley se apoyan, porque no veo de dónde sale el permiso para frenar una certificación.

Agustín El portavoz del departamento dijo que la demanda se presentó bajo la Ley de Registro Nacional de Votantes, para proteger la integridad del proceso, y que la División de Elecciones de Alaska ya había determinado que la candidatura buscaba engañar. La demanda alega que Daniel J. Sullivan entró como republicano para engañar a los partidarios del senador y beneficiar a Peltola. Según CNN, no hubo solicitud de emergencia para acción inmediata. El caso lo tiene la jueza Sharon Gleason, designada por Obama.

Javiera ¿Y qué dicen los especialistas en derecho electoral? Pregunto porque, si la ley que citan se usa así por primera vez, alguien con experiencia tendría que haber reaccionado, y quisiera saber si fue solo gente de un lado político o también de otros.

Agustín Derek Muller, profesor de Derecho en Notre Dame, dijo a CNN que la teoría era extraña e inusual y que nunca había visto el preámbulo de esa ley usado de esta manera; por separado escribió que era uno de los peores argumentos que había visto. Vanita Gupta, fiscal asociada en la administración Biden, la llamó sin fundamento. Ben Ginsberg, abogado electoral republicano y exasesor del Comité Nacional Republicano, dijo que no había razón legal racional y que el cliente parecía ser político.

Javiera Gupta dijo algo de que la Corte Suprema de Alaska ya había resuelto algo sobre este candidato, pero no sé qué.

Agustín Esa es la historia de la boleta, que tiene meses. Daniel J. Sullivan se inscribió a fines de mayo. El 15 de junio la División de Elecciones, dirigida por un republicano, lo removió, porque concluyó que la candidatura no era de buena fe y buscaba confundir. El 26 de junio la jueza Thomas Matthews revirtió esa decisión, y el 29 de junio la Corte Suprema de Alaska la confirmó, horas antes de imprimir las boletas primarias.

Javiera Algo no me cuadra. El portavoz dijo que la división ya había determinado que buscaba engañar, pero me dices que un tribunal revirtió esa decisión. Entonces el argumento de la demanda se apoya en algo que dos cortes de Alaska ya dejaron sin efecto, ¿no es así?

Agustín Los hechos son esos. La jueza Matthews escribió que la división había inventado una prueba de buena fe que no está en la Constitución, en la ley estatal ni en sus propias reglas, y que la ley de Alaska presume la elegibilidad del candidato. La Corte Suprema dejó a la división decidir cómo aparecería el nombre. Lo listaron sin partido y marcaron al senador como titular.

Javiera Hablemos de lo que está en juego. Dices que el escaño de Alaska podría decidir quién manda en la cámara, y no me queda claro cuánto pesa un solo escaño. ¿Cuántos necesitan los demócratas para tomar el Senado, y cómo está hoy el reparto?

Agustín Según CNN, los demócratas necesitan una ganancia neta de cuatro escaños en las elecciones intermedias del 3 de noviembre, y Alaska es uno de los escaños republicanos que esperan voltear. Reuters describe a los republicanos controlando de manera estrecha ambas cámaras antes de la elección.

Javiera Imagino que las encuestas ayudan a ver qué tan cerca está la cosa. Supongo que Peltola va ganando por bastante, porque si no, nadie estaría tan preocupado por un detalle como el apellido.

Agustín No tanto, y depende de la encuesta. Rasmussen entrevistó a 775 votantes probables del 12 al 15 de octubre: Peltola 44 por ciento, el senador Sullivan 42, Heikes 4 y Daniel J. Sullivan 3, con margen de error de más o menos 3 puntos. Las preferencias de segunda opción salieron casi parejas. Todas las encuestas son anteriores a la demanda.

Javiera Dos puntos de diferencia con un margen de tres. Eso me suena a que la encuesta no distingue quién va primero. Aun así, ¿hay alguna que muestre una ventaja más clara? Lo pregunto porque no quiero quedarme con una sola foto.

Agustín Sí. El New York Times con Siena, reportada por Newsweek, entrevistó a 504 votantes probables entre el 24 de septiembre y el 1 de octubre: Peltola 50, Sullivan 43, con margen de más o menos 5.1 puntos. Otras de octubre, de InsiderAdvantage, Public Policy Polling, Alaska Survey Research y Data for Progress, ponen la carrera dentro de algunos puntos. A veces Peltola va adelante tras simular el conteo por preferencia, y a veces están esencialmente empatados. Los agregadores, que promedian encuestas, le dan a Peltola ventajas pequeñas, de dígitos bajos. Esos promedios no son resultados y dependen de qué encuestas incluyan.

Javiera Me confunde lo del conteo simulado. En mi cabeza, gana quien tenga más votos y ya. Si hay cuatro candidatos, ¿cómo se decide?

Agustín El sistema de Alaska no es de pluralidad simple. Cada votante puede ordenar hasta cuatro candidatos. Si nadie saca mayoría de primeras opciones, se elimina al último lugar y esas boletas pasan a la siguiente opción de cada votante que siga en la carrera. Se repite hasta que alguien tenga más de la mitad. Es decir: se va vaciando la lista de abajo hacia arriba, y tu voto sigue vivo mientras alguno de tus elegidos siga compitiendo.

Javiera Entonces pongo un caso. Una votante apurada pone primero a Daniel J. Sullivan y segundo al senador. Si Daniel J. queda último, su boleta pasa al senador y el voto llega donde ella quería. Me parece que el problema de nombres casi se resuelve solo en ese caso.

Agustín CNN señaló justo eso: quien ordena a ambos Sullivans puede ver su voto llegar al titular si el otro es eliminado, lo que limita el efecto de una confusión pura de nombres. El departamento argumenta que algunos votantes podrían ordenar al Sullivan equivocado más alto, o no ordenar al senador en absoluto. Y Muller dijo que, como las boletas se mezclan, no hay forma práctica de identificar después cuáles se emitieron por error.

Javiera Eso me deja con algo que no cuadra: se pide frenar una certificación para investigar una intención que las boletas no registran, y la votación ya había empezado. ¿Había gente votando cuando se presentó la demanda?

Agustín Sí, la votación anticipada ya estaba en marcha. Se apoya en una investigación que los tribunales estatales ya declinaron tratar como base para remover a un candidato.

Javiera Cambio de tema, y vengo con una duda básica. Escuché que hay fallas en PHP y que el titular habla de la web entera. Yo sé que PHP es un lenguaje de programación, pero no tengo idea de qué tan extendido está. ¿Cuánta parte de internet depende de él y desde cuándo existen los errores?

Agustín Los errores se remontan a PHP 5.4. Wiz Research, que co-descubrió los errores, escribió que cada versión de PHP de la última década tiene al menos uno de los problemas, y que el lenguaje alimenta el 70 por ciento de los sitios web. The Guardian usó esa misma cifra. Los datos de W3Techs ponen el número en cerca del 69 por ciento, e incluyen a WordPress, Drupal y Joomla.

Javiera Si tres de cada cuatro sitios que uso podrían tener el problema, me imagino que alguien lo comparó con algún desastre anterior de internet. Yo nunca he sabido distinguir entre una falla grave y una que solo suena grave en las noticias.

Agustín Wiz lo comparó con Heartbleed, una falla de OpenSSL de 2014 que afectó software de encriptación usado entonces por unos dos tercios de la web. Ojo: la comparación es de alcance, no de mecánica. Heartbleed filtraba memoria de una biblioteca criptográfica; este caso, llamado PHP2Shell, puede producir ejecución de código remoto, es decir, que un atacante corra sus propias órdenes en el programa que ejecuta el sitio.

Javiera Ejecutar órdenes ajenas en mi servidor suena peor que una filtración. Y me intriga quién encontró esto, porque son errores viejos que durante años nadie explotó. ¿Fue un investigador solitario, una empresa, o cómo se descubrió?

Agustín Fue un esfuerzo de varias partes en agosto de 2026. Ryan Austin, de la firma californiana Calif, trabajando dentro del programa Patch the Planet de OpenAI, identificó el primer problema alrededor del 1 de agosto y avisó a PHP el 11. Wiz, con su sistema Atlas junto a modelos de Google y OpenAI, halló su primera falla el 19 de agosto y la reportó el 24, tras demostrar ejecución de código contra Drupal y WordPress.

Javiera Entonces las máquinas hicieron parte del trabajo, pero no entiendo por qué eso importa si los errores llevaban años ahí. Un investigador humano también podría haberlos encontrado con tiempo suficiente, me parece.

Agustín Wiz escribió que demostrar que el error era explotable exigía una cadena de pasos al límite de lo que un humano lograría en la práctica, y que los modelos bajaron mucho esa barrera. Calif dijo que usó modelos disponibles al público, y que fue el conocimiento de un investigador sobre errores de memoria de PHP de 2004 lo que dirigió al modelo al código correcto. Una auditoría de 2024 vio algo parecido, pero no se corrigió: faltaba un exploit funcional y el equipo no se puso de acuerdo en un cambio.

Javiera Se supone que todo esto era secreto hasta que hubiera parche. ¿Cuándo se enteró el público y qué pasó con el calendario de la corrección?

Agustín El 20 de octubre los detalles se filtraron en foros, en X y en un video de prueba de concepto. PHP adelantó el parche, que estaba planeado para el 22 de octubre; los avisos aparecieron en GitHub el 21 a las 13:34 UTC. Matthew Prince, director ejecutivo de Cloudflare, escribió que vieron miles de intentos de exploit en las 10 horas antes del anuncio, decenas de miles en los 45 minutos siguientes, cientos de miles en dos horas y millones antes de que publicara.

Javiera Millones de intentos en tan poco tiempo me impresionan, pero intentar no es lo mismo que lograrlo. Quiero saber cuántos sitios cayeron de verdad y qué hicieron los gobiernos mientras tanto.

Agustín Ese número no se ha publicado; la cifra de Prince y el "ampliamente explotado" de Amazon describen intentos y sondeos, el más temprano del 17 de octubre. El centro de ciberseguridad del Reino Unido envió unas 50,000 alertas y no reportó ataques exitosos. Aun así, Reino Unido desconectó 32 servicios gubernamentales, y Finlandia, Países Bajos y Japón cerraron servicios; bancos, aerolíneas y ferrocarriles japoneses suspendieron los suyos el 22 de octubre.

Javiera Quedo pensando en quienes no pueden actualizar, como una pyme con un sitio hecho hace años y nadie a cargo. Tengo curiosidad por saber si el parche les llega, y quién mantiene un lenguaje tan usado.

Agustín Los paquetes oficiales cubren solo líneas soportadas, de 8.2 en adelante. VulnCheck y Censys ponen los servidores PHP expuestos en los bajos millones, muchos en versiones de fin de vida, y dependen de parches de proveedores que podrían no llegar. Y lo mantiene una fundación pequeña: un comentario citado por The Guardian señaló que tenía 13 empleados, completos y parciales.

Javiera Me quedo con esa mezcla de cosas. Para cerrar, Agustín: ¿qué es lo único que debería llevarse el oyente de cada una de las dos historias de hoy?

Agustín De la demanda en Alaska: es una petición previa a la elección para condicionar la certificación, y se desconoce si una corte federal la considerará. De PHP: quien tenga un sitio debe pasar a una versión corregida o a un parche equivalente de su proveedor, porque los sitios que no lo hicieron siguen expuestos.

Javiera Gracias por acompañarnos, Agustín, y gracias a ustedes por escuchar. Mañana, a esta misma hora, llega un nuevo episodio de qué se habla.

Agustín Gracias a ti, Javiera, y a quienes nos escuchan; cuiden sus sitios y revisen con calma lo que leen. Por cierto, este programa es un resumen generado con inteligencia artificial, las voces son sintéticas, y los hechos vienen de las fuentes citadas, cuyos autores no están afiliados a este programa.

Javiera Todo lo de hoy salió de reportes de CNN, Reuters, The Guardian, Newsweek, Wikipedia con datos de W3Techs, y de lo publicado por Wiz Research, OpenAI, Calif, Cloudflare y Amazon.