OpenAI atribuye a su IA un papel clave en el hallazgo de dos fallos críticos de PHP

OpenAI asegura que GPT-5.6 Sol, disponible en ChatGPT, ayudó a investigadores de seguridad a encontrar y demostrar cómo explotar dos vulnerabilidades críticas del motor de PHP. El hallazgo no implica que la IA haya «salvado Internet», pero sí describe una aplicación defensiva de estas herramientas: localizar fallos y preparar correcciones antes de que haya constancia de ataques.

Qué se ha descubierto y a quién afecta

Los problemas figuran con los identificadores CVE-2026-109618 y CVE-2026-109619 y una puntuación de gravedad de 9,2 sobre 10 en CVSS 4.0, una escala para evaluar vulnerabilidades. Afectan a la gestión de memoria y errores del motor de PHP, no necesariamente al código escrito por los responsables de cada web.

Bajo determinadas condiciones, permitirían que un atacante remoto sin credenciales ejecutase código en el servidor. También podrían facilitar el acceso a datos sensibles presentes en memoria, como contraseñas, tokens de autenticación o claves API.

Según la advertencia atribuida al proyecto PHP, deben considerarse expuestas todas las instalaciones que procesan peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. En mod_php, el ataque demostrado podría activarse incluso antes de ejecutarse el código de la aplicación.

Una investigación con ayuda de IA

La investigación de Calif comenzó el 30 de julio de 2026, a petición de la PHP Foundation y dentro de la iniciativa de OpenAI Repara el Planeta. El problema subyacente se conocía desde 2024, aunque no se había encontrado una explotación práctica ni una solución definitiva.

El 11 de agosto, Calif identificó una vía de explotación con ayuda del modelo. Según el relato aportado, investigadores de OpenAI obtuvieron resultados similares de forma independiente ese día, y Wiz descubrió posteriormente ambos fallos utilizando también herramientas de IA.

Qué deben hacer los administradores

Las versiones señaladas como corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. PHP advierte de que no existe una mitigación completa alternativa a actualizar; quienes utilicen PHP 8.1 o versiones anteriores deben migrar a una rama compatible o recurrir a parches de terceros.

OpenAI sostiene que los fallos se localizaron antes de que hubiera evidencias de explotación por atacantes. Esa ausencia de evidencias no demuestra que nunca se utilizaran: la consecuencia práctica para los administradores sigue siendo revisar su versión y aplicar las correcciones.