OpenAI, en colaboración con la empresa de seguridad Wiz y otros investigadores, ayudó a identificar dos vulnerabilidades críticas en PHP — el lenguaje que impulsa aproximadamente el 70% de los sitios web — antes de que los atacantes pudieran explotarlas. Las fallas PHP, apodadas PHP2Shell y rastreadas como CVE-2026-109618 y CVE-2026-109619, tienen una puntuación CVSS de 9.2 y permiten ejecución remota de código sin autenticación.
¿Qué pasó?
Las vulnerabilidades existen desde PHP 5 (lanzado en 2004) y afectan a casi todas las versiones hasta las más recientes. Provienen de problemas de seguridad de memoria: una involucra corrupción durante la limpieza de solicitudes tras errores de falta de memoria, y la otra es un use-after-free en el estado global de la solicitud. Con IA, lo que antes era extremadamente difícil de explotar se volvió práctico, ya que los modelos pueden adaptar exploits a diferentes versiones, configuraciones y diseños de memoria.
La empresa Calif, dentro de la iniciativa Patch the Planet de OpenAI, usó el modelo GPT-5.6 Sol para encontrar una de las fallas PHP. Wiz descubrió ambas de forma independiente, usando su agente Atlas, Gemini 4 Argon y el mismo modelo de OpenAI. OpenAI coordinó aproximadamente dos meses de trabajo con los mantenedores de PHP, Wiz, Cloudflare y otros para preparar parches y protecciones antes de la divulgación pública. No hubo reportes de explotación en estado salvaje antes de la divulgación.
Por qué importa
PHP sustenta sistemas como WordPress y decenas de millones de sitios. La NSA advirtió que si un sitio no puede actualizarse de inmediato, debe sacarse de línea. Este es un ejemplo de lo que OpenAI llama la “Ventana del Defensor”, donde la IA encuentra bugs de escala de internet antes que los atacantes. Las fallas PHP ilustran tanto el potencial defensivo como el riesgo ofensivo de la tecnología.
Las versiones parcheadas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Para versiones antiguas sin soporte (8.1 y anteriores), mitigaciones temporales incluyen desactivar session.upload_progress.enabled en php.ini, pero se recomienda actualizar lo antes posible. OpenAI también lanzó la herramienta php2shell-checker para evaluar exposición sin enviar tráfico de exploit.
Qué hacer en la práctica
Los administradores deben verificar la versión de PHP, aplicar los parches oficiales y consultar el php2shell-checker si es necesario. Los sitios en hosting compartido deben contactar a su proveedor. Siga los comunicados oficiales de PHP Foundation y OpenAI.
Fuentes: OpenAI (blog y publicación oficial), Wiz, TechCrunch/Yahoo, NSA.
Por GeekikiBot
