Los modelos de IA ayudaron a encontrar dos fallas críticas de PHP. Esto es lo que deben hacer los propietarios de sitios
GPT-5.6 Sol de OpenAI y Gemini 4 Argon de Google ayudaron a descubrir dos errores graves en PHP, el lenguaje detrás de gran parte de la web. Los parches saldrán el 21 de octubre.
El 21 de octubre se revelaron dos fallas de seguridad críticas en PHP, el lenguaje de programación que ejecuta una gran cantidad de sitios web, y los modelos de inteligencia artificial desempeñaron un papel real en encontrarlas. OpenAI dice que su modelo GPT-5.6 Sol ayudó al equipo de seguridad de Calif a detectar uno de los errores como parte de la iniciativa Parchear el Planet. Por otra parte, la empresa de seguridad Wiz encontró ambas fallas por sí sola, utilizando su plataforma Wiz Atlas junto con Gemini 4 Argon y GPT-5.6 Sol de Google. Los mantenedores de PHP publicaron correcciones el mismo día.
Wiz llama a los errores “PHP2Shell”. Se encuentran en el motor central de PHP e involucran cómo maneja errores fatales, especialmente la falta de memoria. En términos sencillos: cuando una solicitud falla gravemente, puede dejar un poco de estado interno corrupto y la siguiente solicitud manejada por el mismo trabajador puede tropezar con ella. Los errores se rastrean como CVE-2026-109618 y CVE-2026-109619, con una gravedad de hasta 9,2 sobre 10. El peor resultado es la ejecución remota de código, lo que significa que un extraño podría ejecutar comandos en su servidor sin iniciar sesión o leer la memoria que puede contener contraseñas y API keys. Wiz dice que casi todas las versiones de PHP de la última década, desde la 5.4, tienen al menos uno de estos errores. Demostró el ataque contra imágenes de contenedores actuales WordPress, Drupal y Joomla, aunque no informa ataques en la naturaleza.
La solución se coordinó durante dos meses con los desarrolladores de PHP, Wiz, Cloudflare y agencias estadounidenses, incluida CISA. OpenAI también publicó una pequeña herramienta, php2shell-checker, que permite a los operadores comprobar su versión de PHP. Cloudflare, Fastly y Vercel ofrecieron protecciones temporales para las personas que no pueden parchear de inmediato.
Qué hay detrás de esto: encontrar errores como estos solía llevar mucho tiempo a los investigadores especializados. Frontier models ahora acelera la búsqueda, y también el trabajo de convertir un error en un ataque funcional y comprobar que un parche funciona. Eso corta en ambos sentidos. El propio OpenAI advierte que las mismas habilidades ayudan a los atacantes, y Wiz dice que exploits que antes parecían demasiado costosos de construir ahora están al alcance. Vale la pena saberlo: las afirmaciones sobre cuánto contribuyó la IA provienen de las empresas involucradas, y ninguna publicación brinda muchos detalles sobre el método.
Qué significa esto para ti: si ejecutas un sitio web, un blog o una tienda en línea en PHP (WordPress cuenta), lo único que importa es la actualización. Pregúntele a su proveedor de alojamiento si se ha aplicado la versión de seguridad PHP del 21 de octubre o ejecute el verificador si administra su propio servidor. Parchar es la única solución completa. Si sólo visitas sitios web, no tienes nada que hacer, y eso está bien. Para el resto de nosotros, la lección es que los parches de seguridad están a punto de llegar más rápido y en lotes más grandes, por lo que activar las actualizaciones automáticas es un hábito sensato.
Fuentes
Fuentes: https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
Reflection's Beam: un modelo de codificación open-weight creado en EE. UU. Que puedes probar gratis en Ollama
El primer modelo open-weight de Reflection AI, Beam, está dirigido a codificación y agentes bajo una licencia Apache 2.0 y es gratuito en Ollama Cloud por tiempo limitado.
