OpenAI afirma que la IA ayudó a encontrar fallos críticos en PHP; se publicó la corrección y se prometen créditos por 1.000 millones de dólares
En breve
OpenAI dijo el 21 de octubre que trabajó durante unos dos meses con los responsables del mantenimiento de PHP, empresas de seguridad y organismos para corregir dos vulnerabilidades críticas de PHP, una de ellas detectada por la empresa Calif con GPT-5.6 Sol. PHP publicó versiones corregidas el 21 de octubre. OpenAI también prometió 1.000 millones de dólares en créditos de acceso subvencionados en el marco de su programa Daybreak for Frontline Defenders.
Leer la noticia completa 3 min de lectura
OpenAI dijo el 21 de octubre que, durante los últimos dos meses, había trabajado con responsables de código abierto, investigadores y proveedores de seguridad para ayudar a corregir graves vulnerabilidades de PHP. CLS informó de que, según el comunicado de OpenAI, dada su gravedad y el amplio uso de PHP, se trata de una de las vulnerabilidades recientes de mayor impacto. [ 1 , 3 ]
La empresa de seguridad Calif utilizó GPT-5.6 Sol para encontrar un fallo, y la empresa de seguridad Wiz encontró y notificó de forma independiente vulnerabilidades relacionadas, según informaron cnBeta, Jiemian e IT Home. Los responsables del mantenimiento de PHP dirigieron la verificación, la reparación y la publicación de las versiones corregidas, mientras que OpenAI, Wiz, Cloudflare y otros socios aportaron investigación, apoyo de ingeniería y coordinación. IT Home indicó que los dos fallos, denominados colectivamente PHP2Shell, tienen los números CVE-2026-109618 y CVE-2026-109619, y cada uno tiene una puntuación CVSS v4.0 de 9,2. [ 2 , 3 , 4 ]
cnBeta e IT Home afirmaron que ambos fallos fueron calificados como críticos y podrían permitir a los atacantes ejecutar código a distancia sin autenticación. IT Home afirmó que la PHP Foundation publicó una actualización de emergencia el 21 de octubre, con las versiones corregidas PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. IT Home y Huxiu afirmaron que cerca del 70% de los sitios web dependen de PHP. [ 2 , 4 , 5 ]
OpenAI dijo que, hasta donde sabía, el fallo fue encontrado con la ayuda de una IA avanzada antes de que los atacantes lo encontraran y lo explotaran, lo que dio a los responsables del mantenimiento lo que denominó «Defender's Window». También afirmó que las mismas capacidades podrían ayudar a los atacantes a desarrollar exploits más rápido, y que esta ventana podría reducirse a medida que mejoren los modelos. [ 2 , 4 ]
OpenAI propuso un marco de cinco etapas para las vulnerabilidades graves: verificar y corregir el fallo en origen, notificar pronto a las organizaciones afectadas, trabajar con agencias gubernamentales, preparar actualizaciones en todos los productos y apoyar el despliegue tras la corrección. cnBeta dijo que, en el caso de PHP, OpenAI contactó con varios organismos del gobierno de Estados Unidos, entre ellos CISA, y se coordinó con socios internacionales. [ 2 , 3 , 4 ]
OpenAI prometió 1.000 millones de dólares en créditos de acceso subvencionados a través de su programa Daybreak for Frontline Defenders, dirigido a organizaciones con recursos de seguridad limitados que operan servicios críticos. También afirmó que proporcionará una herramienta de comprobación de versiones de PHP y un complemento de Codex, y que recopilará información sobre divulgaciones y orientaciones a través de su proyecto Patch the Planet. [ 1 , 2 , 3 , 4 ]
Huxiu ofreció un relato más completo. Informó de que la actualización de PHP se adelantó del 22 al 21 de octubre por la noche, de que varios servicios gubernamentales y empresariales en los Países Bajos, Finlandia y Japón quedaron fuera de servicio o en mantenimiento, y de que Calif filtró un vídeo de demostración de un ataque. También afirmó que la revisión de la PHP Foundation reconoció fallos estructurales causados por la escasez de personal y por el proceso de decisión de su equipo de seguridad. Estos puntos proceden solo de Huxiu. [ 5 ]
Por qué importa
IT Home y Huxiu describen PHP como utilizado por alrededor del 70% de los sitios web, por lo que un fallo que permite ejecutar código a distancia sin autenticación podría afectar a muchos sitios y servicios. OpenAI afirma que el caso demuestra que la IA puede ayudar a los defensores a encontrar fallos antes que los atacantes, aunque la misma capacidad también podría acelerar los ataques.
Datos clave
- OpenAI emitió el 21 de octubre un comunicado sobre vulnerabilidades graves en PHP, al que calificó como una de las vulnerabilidades recientes de mayor impacto por su gravedad y por el amplio uso de PHP. [ 1 , 4 ]
- La empresa de seguridad Calif utilizó GPT-5.6 Sol para encontrar un fallo, y la empresa de seguridad Wiz encontró y notificó de forma independiente vulnerabilidades relacionadas. [ 2 , 3 , 4 ]
- Dos vulnerabilidades fueron calificadas como críticas y podrían permitir a los atacantes ejecutar código a distancia sin autenticación. [ 2 , 4 ]
- El equipo de PHP publicó versiones corregidas el 21 de octubre e instó a los usuarios a actualizar; IT Home enumeró PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. [ 2 , 4 , 5 ]
- OpenAI prometió 1.000 millones de dólares en créditos de acceso subvencionados a través de su programa Daybreak for Frontline Defenders. [ 1 , 2 , 3 , 4 ]
- OpenAI propuso un marco de respuesta de cinco etapas para las vulnerabilidades graves. [ 2 , 3 , 4 ]
- OpenAI afirmó que proporcionará una herramienta de comprobación de versiones de PHP y un complemento de Codex para ayudar a los operadores a identificar las versiones de PHP en riesgo. [ 2 , 4 ]
Confirmado por varias fuentes
- OpenAI afirmó que, junto con los responsables de código abierto, investigadores y proveedores de seguridad, contribuyó a corregir graves vulnerabilidades de PHP, y que Calif encontró un fallo con GPT-5.6 Sol, mientras que Wiz encontró y notificó de forma independiente fallos relacionados. [ 2 , 3 , 4 ]
- PHP publicó una corrección el 21 de octubre para dos vulnerabilidades críticas que permiten ejecutar código a distancia sin autenticación. [ 2 , 4 , 5 ]
- OpenAI se comprometió a aportar 1.000 millones de dólares en acceso subvencionado a Daybreak para defensores a través del programa Daybreak for Frontline Defenders. [ 1 , 2 , 3 , 4 ]
- OpenAI describió un marco escalonado de respuesta a vulnerabilidades que abarca la verificación y reparación, el aviso previo a las organizaciones afectadas, la coordinación con los gobiernos, las actualizaciones de productos y la orientación para aplicar las correcciones. [ 2 , 3 , 4 ]
- IT Home y Huxiu afirmaron que cerca del 70% de los sitios web dependen de PHP. [ 4 , 5 ]
Aún sin aclarar
- Cuántos fallos encontró cada parte. cnBeta e IT Home describen que Calif encontró un fallo y que Wiz informó por separado de otros relacionados; los documentos no dan un recuento claro para cada una.
- La interrupción del 21 de octubre según Huxiu, incluida la caída del sistema de identidad digital neerlandés, del sitio web del parlamento y del sitio web del centro nacional de ciberseguridad, así como los servicios cerrados por un proveedor de TI del gobierno finlandés y por BambooHR. Solo Huxiu informa de esto; los demás documentos no mencionan interrupciones.
- La información de Huxiu según la cual Calif filtró un vídeo de demostración de un ataque y PHP adelantó su actualización del 22 al 21 de octubre. Afirmación de una sola fuente; el comunicado de OpenAI, tal como lo recogen otros medios, no la menciona.
- Si los fallos fueron explotados antes de la corrección. OpenAI dijo que, según sus datos, el fallo fue encontrado con ayuda de la IA antes de que los atacantes lo encontraran y lo explotaran; Huxiu informa de servicios desconectados como medida de precaución, y ningún documento confirma ataques.
Qué dicen los medios locales
Cronología, hora local
- Huxiu informó de que la actualización de seguridad de PHP se publicó la noche del 21 de octubre. [ 5 ]
- CLS informó del comunicado de OpenAI sobre la vulnerabilidad de PHP y de la promesa de 1.000 millones de dólares. [ 1 ]
- cnBeta publicó su información sobre el anuncio de OpenAI. [ 2 ]
- Jiemian informó del marco de respuesta por fases de OpenAI y de los créditos Daybreak de 1.000 millones de dólares. [ 3 ]
- IT Home publicó su información el 22 de octubre, incluidas las versiones corregidas de PHP. [ 4 ]
- Huxiu publicó su relato sobre el descubrimiento y sus consecuencias. [ 5 ]