La IA de OpenAI encuentra un fallo de PHP de hace una década y luego coordina la solución
Un par de graves fallos de seguridad en PHP, el lenguaje de programación que impulsa una enorme parte de los sitios web del mundo, ha obligado esta semana a una rara movilización global. Los errores se descubrieron con la ayuda de las herramientas de IA de OpenAI y luego se corrigieron en una carrera coordinada en la que participaron mantenedores de software, empresas de seguridad, proveedores de la nube y agencias nacionales de ciberseguridad, según OpenAI e investigadores de seguridad.
Las dos vulnerabilidades, agrupadas bajo el apodo PHP2Shell y registradas como CVE-2026-109618 y CVE-2026-109619, obtuvieron ambas una puntuación de 9,2 sobre 10 en la escala de gravedad CVSS v4.0. En el peor de los casos, un atacante podría ejecutar código arbitrario en un servidor vulnerable, lo que es prácticamente lo más grave que puede ocurrir en seguridad web. Se informa que los fallos han estado latentes en el código durante más de una década.
El descubrimiento provino del programa Patch the Planet de OpenAI, una iniciativa que empareja modelos de IA con investigadores de seguridad para buscar debilidades en software de código abierto ampliamente utilizado. Se dice que la empresa de seguridad Calif y la firma de seguridad en la nube Wiz descubrieron los problemas de PHP de forma independiente con asistencia de IA en agosto. Lo que siguió fue aproximadamente dos meses de trabajo silencioso para preparar las correcciones antes de que alguien pudiera convertir los errores en armas.
Ese plan se vio interrumpido cuando los detalles se filtraron el 20 de octubre, aparentemente antes de la fecha de divulgación coordinada. La filtración sumió a los equipos de operaciones de PHP en una larga noche, mientras los administradores se apresuraban a evaluar la exposición y aplicar mitigaciones. La PHP Foundation publicó los parches oficiales el 21 de octubre, y OpenAI publicó su relato de todo el esfuerzo el mismo día.
La historia importa mucho más allá de los foros de desarrolladores. PHP sustenta sistemas de gestión de contenido, foros y tiendas en línea en todo internet, y las estimaciones que circulan en los medios tecnológicos chinos sitúan su alcance en aproximadamente el setenta por ciento de los sitios web. Un fallo explotable de forma remota en esa capa es un riesgo sistémico, no algo de nicho, y por eso los proveedores de la nube y los organismos gubernamentales de seguridad se unieron a la respuesta.
Para OpenAI, Patch the Planet es también una declaración sobre cómo la IA podría cambiar la investigación de vulnerabilidades. Encontrar errores a escala ha sido tradicionalmente un trabajo lento y manual. Los modelos de IA pueden escanear enormes bases de código rápidamente, pero la parte más difícil es la maquinaria humana que sigue: verificar los hallazgos, escribir parches, advertir a los proveedores y mantener todo en secreto hasta que los usuarios puedan actualizar. El episodio de PHP puso a prueba esa maquinaria bajo la presión de una filtración.
El episodio también pone de relieve una tensión creciente. El descubrimiento asistido por IA significa que surgirán más fallos más rápido, y no todos los proyectos tienen los mantenedores o los recursos para responder a toda velocidad. Las normas de divulgación coordinada, antes un rincón tranquilo de la industria, se están convirtiendo en un ejercicio de logística global que involucra a empresas y agencias que rara vez hablan entre sí.
Para los usuarios y las empresas comunes, el consejo práctico no ha cambiado: actualice las instalaciones de PHP y el software dependiente con prontitud, y esté atento a los avisos de los proveedores. Para la industria, la lección puede ser que la IA ya forma parte de la cadena de suministro de seguridad, y la carrera ya no consiste solo en encontrar errores, sino en corregirlos antes de que internet se entere.