OpenAI coordinó con investigadores, proveedores de infraestructura y autoridades la respuesta a dos vulnerabilidades que podrían permitir tomar el control de servidores. Los responsables de PHP publicaron actualizaciones de emergencia y recomendaron instalarlas inmediatamente.
Dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para el funcionamiento de sitios y aplicaciones web, provocaron una operación internacional de seguridad encabezada por los desarrolladores del proyecto y coordinada con OpenAI, investigadores especializados, empresas de infraestructura y organismos gubernamentales. Las fallas, divulgadas públicamente este miércoles 21 de octubre, podrían permitir que atacantes ejecuten código de manera remota sin necesidad de autenticarse, con consecuencias que incluyen el acceso a información sensible y el control de servidores vulnerables.
OpenAI informó que la investigación se desarrolló durante aproximadamente dos meses dentro de Patch the Planet, una iniciativa dedicada a identificar y corregir vulnerabilidades en software ampliamente utilizado. La empresa de seguridad Calif descubrió una falla crítica utilizando GPT-5.6 Sol, mientras que Wiz identificó de manera independiente las dos vulnerabilidades. Los equipos de PHP encabezaron la preparación de las correcciones y recibieron apoyo técnico de OpenAI, Cloudflare y otros participantes para preparar medidas de protección antes de que los detalles fueran publicados.
La dimensión del problema está relacionada con la presencia de PHP en la infraestructura de internet. El lenguaje forma parte del funcionamiento de gestores de contenidos como WordPress, Drupal y Joomla, además de numerosas aplicaciones empresariales y sistemas institucionales. Las vulnerabilidades afectan al propio motor de PHP y no dependen necesariamente de que un sitio tenga instalado un complemento inseguro.
La gravedad fue evaluada en 9.2 sobre 10 en la escala CVSS 4.0. El equipo responsable de PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y advirtió que actualizar el software es la medida necesaria para resolver las fallas de manera definitiva.
Fallas en la memoria permiten ejecutar código y extraer información
Las dos vulnerabilidades, agrupadas por los investigadores bajo el nombre PHP2Shell, están relacionadas con la manera en que PHP administra la memoria y procesa los errores durante las solicitudes web. La primera, CVE-2026-109618, puede producirse cuando una operación se interrumpe por falta de memoria y el programa conserva información interna que no terminó de inicializarse correctamente. La segunda, CVE-2026-109619, permite que determinados procesos reutilicen referencias a segmentos de memoria que ya habían sido liberados.
En condiciones específicas, estos errores pueden ser aprovechados mediante solicitudes HTTP especialmente construidas para provocar fallos de ejecución, extraer información de la memoria del servidor o ejecutar código malicioso. Wiz confirmó experimentalmente ataques contra instalaciones de WordPress, Drupal y Joomla, así como la posibilidad de recuperar contraseñas, tokens y claves de API almacenados temporalmente en memoria. Estas demostraciones no significan que todas las instalaciones de esos sistemas hayan sido comprometidas, sino que las vulnerabilidades pueden explotarse incluso cuando el código de la aplicación no contiene fallas propias.
La dimensión potencial del problema es considerable. De acuerdo con Wiz, PHP interviene en el funcionamiento de aproximadamente el 70% de los sitios web. Sin embargo, esa proporción no representa una estimación de servidores comprometidos ni implica que todos sean explotables bajo las mismas condiciones. La exposición depende de la versión instalada, de la configuración del servidor y de las medidas de protección disponibles.
Un problema conocido desde 2024 que la IA ayudó a demostrar
Uno de los aspectos más relevantes de la investigación es que los primeros indicios de una de las vulnerabilidades habían aparecido en 2024, durante una auditoría de seguridad realizada por Quarkslab. En aquel momento, los desarrolladores de PHP identificaron un posible problema relacionado con la gestión de memoria, pero no encontraron una vía concreta para explotarlo mediante ejecución remota de código. La Fundación PHP reconoció ahora que la dificultad de desarrollar una corrección, las diferencias entre las posibles soluciones y la escasez de personal especializado provocaron retrasos durante meses.
La situación cambió en agosto de 2026. El investigador Ryan A, de Calif, comunicó el 11 de agosto una vía de ejecución remota de código relacionada con el problema identificado dos años antes. OpenAI notificó independientemente la misma causa fundamental ese día, mientras que Wiz identificó otras rutas de explotación durante las semanas siguientes. Las herramientas de IA permitieron a los investigadores analizar comportamientos complejos de memoria, construir pruebas y adaptar los experimentos a distintas configuraciones.
La investigación tampoco dependió exclusivamente de modelos de OpenAI. Wiz utilizó GPT-5.6 Sol, Gemini 4 Argon y herramientas propias durante el análisis, mientras que Google Cloud atribuyó a Gemini 4 Argon contribuciones importantes para identificar vulnerabilidades, desarrollar y detectar ataques y comprobar las correcciones. La colaboración combinó agentes de IA con investigación humana, validación experimental y trabajo directo de los responsables del lenguaje.
La divulgación se adelantó después de una filtración
La Fundación PHP informó que la publicación de las correcciones estaba prevista originalmente para el 22 de octubre, pero el calendario cambió cuando los identificadores de las vulnerabilidades comenzaron a circular en foros y redes sociales el día 20. Aunque inicialmente no se divulgaron detalles técnicos completos, la difusión accidental de un video de Calif que mostraba pruebas de explotación contribuyó a acelerar el desarrollo de demostraciones públicas.
Los desarrolladores adelantaron un día la publicación de las actualizaciones. También denunciaron que Chainguard distribuyó anticipadamente imágenes de software que contenían las correcciones, con lo que terceros podían analizar los cambios antes de su disponibilidad general.
La Fundación PHP señaló que, al momento de la publicación coordinada, no había identificado pruebas públicas funcionales de explotación en los materiales que había examinado. Por separado, Cloudflare informó que había detectado tráfico de ataque contra sus clientes y modificaciones de las solicitudes destinadas a superar sus defensas. La compañía comenzó a desplegar protecciones desde principios de octubre y activó medidas automáticas para sus clientes antes de la divulgación pública.
OpenAI propone un sistema de respuesta internacional para futuras vulnerabilidades
Además de anunciar los hallazgos, OpenAI presentó un marco de coordinación para responder a futuras vulnerabilidades críticas descubiertas mediante inteligencia artificial. La propuesta contempla cinco etapas: confirmar las fallas y desarrollar correcciones; informar anticipadamente a organizaciones que puedan preparar protecciones; colaborar con autoridades responsables de infraestructuras críticas; coordinar las actualizaciones de los productos afectados; y publicar orientaciones para que los operadores comprueben que las correcciones se instalaron.
En el caso de PHP, la compañía informó que colaboró con organismos estadounidenses, entre ellos la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), la Oficina del Director Nacional de Ciberseguridad y la Fuerza de Superinteligencia de la Casa Blanca, además de interlocutores internacionales. OpenAI también anunció un compromiso de 1,000 millones de dólares en acceso subsidiado a Daybreak para organizaciones que defienden servicios esenciales con recursos limitados.
La propuesta incluye una posibilidad todavía más amplia: desarrollar sistemas capaces de examinar continuamente internet para identificar vulnerabilidades conocidas, notificar a sus responsables e incluso aplicar correcciones automatizadas en determinadas circunstancias. OpenAI presentó este escenario como una cuestión abierta a discusión, no como un mecanismo que ya esté autorizado o desplegado de manera generalizada. Entre los problemas pendientes figura establecer bajo qué condiciones podrían intervenirse sistemas sin acceso administrativo, qué autorizaciones serían necesarias y cómo prevenir daños derivados de reparaciones automáticas.
Los administradores deben actualizar PHP
El proyecto PHP recomendó actualizar inmediatamente a las versiones corregidas. Para las instalaciones que utilizan ramas anteriores, especialmente PHP 8.1 o versiones más antiguas que dejaron de recibir soporte ordinario, los administradores deberán verificar si sus distribuidores ofrecen parches adaptados o migrar a una versión compatible.
OpenAI también publicó una herramienta de comprobación de versiones para Codex, aunque advierte que no puede determinar por sí sola si una instalación es segura cuando el servidor oculta su versión o utiliza correcciones incorporadas por un proveedor.
La divulgación de PHP2Shell presenta dos consecuencias simultáneas para la seguridad informática: los modelos de IA pueden ayudar a descubrir y corregir vulnerabilidades que permanecieron durante años en componentes fundamentales de internet, pero esas mismas capacidades también pueden reducir el tiempo y los conocimientos especializados necesarios para desarrollar ataques. La disponibilidad de parches no elimina inmediatamente la exposición de los sistemas que continúan ejecutando versiones vulnerables.
