OpenAI detecta con IA dos fallas críticas de PHP antes que los atacantes: 70% de los sitios web de internet

Los administradores del lenguaje de programación PHP publicaron parches de emergencia para dos fallas críticas que permiten a un atacante ejecutar código sin autenticación en casi cualquier servidor que use ese software.

OpenAI explicó que la detección anticipada dio margen a los administradores para preparar protecciones .

“Hasta donde sabemos, la IA de vanguardia encontró estas vulnerabilidades antes de que lo hicieran los atacantes”, explicó OpenAI, quienes también llamaron a ese margen de maniobra una “Ventana del Defensor”.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y cubren vulnerabilidades catalogadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9,2 sobre 10 en la escala CVSS v4.

PHP funciona como motor de un porcentaje mayoritario de sitios web del mundo, entre ellos WordPress y Drupal.

Investigadores de Calif, empresa de ciberseguridad, detectaron el primero de los fallos en agosto pasado con ayuda del modelo GPT-5.6 Sol de OpenAI durante una auditoría del código fuente de PHP financiada por la iniciativa Patch the Planet de esa compañía.

Semanas después, el equipo Wiz, propiedad de Google, llegó a la misma falla de manera independiente .

El hallazgo abrió una ventana para defenderse antes que los atacantes OpenAI calificó el episodio como uno de los eventos de seguridad más relevantes de los últimos tiempos.

“Dada la gravedad de estas fallas y el uso extendido de PHP, consideramos que este es uno de los problemas de seguridad más importantes que recordamos”, sostuvo OpenAI en el mismo texto.

La compañía advirtió también sobre el riesgo que implica su propia tecnología: “Esto demuestra cómo la inteligencia artificial puede descubrir fallos de seguridad con impacto a escala de internet, pero las mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos”.

Las fallas, conocidas entre los investigadores como PHP2Shell, permanecían ocultas desde hacía más de una década sin que nadie las explotara.

Según detalló Wiz en su propio blog, la razón era la complejidad técnica que exigía construir el ataque.

PHP2Shell y por qué preocupa a los expertos PHP2Shell es un conjunto de fallas de seguridad en memoria que afecta al lenguaje PHP, usado en el 70% de los sitios web del mundo según estimaciones de Wiz.

Permite a un atacante ejecutar código remoto y acceder a información sensible, como contraseñas, sin necesidad de autenticarse, lo que llevó a gobiernos de Europa, Asia y Estados Unidos a exigir la actualización inmediata de los sistemas afectados.