OpenAI detecta con IA dos fallas críticas de PHP antes que los atacantes: 70% de los sitios web de internet

Los administradores del lenguaje de programación PHP publicaron parches de emergencia para dos fallas críticas que permiten a un atacante ejecutar código sin autenticación en casi cualquier servidor que use ese software. OpenAI explicó que la detección anticipada dio margen a los administradores para preparar protecciones.

“Hasta donde sabemos, la IA de vanguardia encontró estas vulnerabilidades antes de que lo hicieran los atacantes”, explicó OpenAI, quienes también llamaron a ese margen de maniobra una “Ventana del Defensor”.

Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y cubren vulnerabilidades catalogadas como CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9,2 sobre 10 en la escala CVSS v4.

PHP funciona como motor de un porcentaje mayoritario de sitios web del mundo, entre ellos WordPress y Drupal. Investigadores de Calif, empresa de ciberseguridad, detectaron el primero de los fallos en agosto pasado con ayuda del modelo GPT-5.6 Sol de OpenAI durante una auditoría del código fuente de PHP financiada por la iniciativa Patch the Planet de esa compañía. Semanas después, el equipo Wiz, propiedad de Google, llegó a la misma falla de manera independiente.

El hallazgo abrió una ventana para defenderse antes que los atacantes

OpenAI calificó el episodio como uno de los eventos de seguridad más relevantes de los últimos tiempos. “Dada la gravedad de estas fallas y el uso extendido de PHP, consideramos que este es uno de los problemas de seguridad más importantes que recordamos”, sostuvo.

La compañía advirtió también sobre el riesgo que implica su propia tecnología: “Esto demuestra cómo la inteligencia artificial puede descubrir fallos de seguridad con impacto a escala de internet, pero las mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos”.

Las fallas, conocidas entre los investigadores como PHP2Shell, permanecían ocultas desde hacía más de una década sin que nadie las explotara. Según detalló Wiz en su propio blog, la razón era la complejidad técnica que exigía construir el ataque.

PHP2Shell y por qué preocupa a los expertos

PHP2Shell es un conjunto de fallas de seguridad en memoria que afecta al lenguaje PHP, usado en el 70% de los sitios web del mundo según estimaciones de Wiz. Permite a un atacante ejecutar código remoto y acceder a información sensible, como contraseñas, sin necesidad de autenticarse, lo que llevó a gobiernos de Europa, Asia y Estados Unidos a exigir la actualización inmediata de los sistemas afectados.

“Las fallas subyacentes estuvieron presentes durante décadas, pero demostrar que eran explotables exigía una cadena de pasos extremadamente compleja, al límite de lo que los investigadores humanos podían lograr en la práctica”, escribieron los investigadores de Wiz. “Los modelos de IA de vanguardia redujeron sustancialmente esa barrera, y convirtieron una falla de larga data en un exploit”, agregaron.

Para construir el ataque hacía falta adaptar el exploit a distintas versiones de PHP, configuraciones y comportamientos de cada aplicación, un trabajo que antes solo estaba al alcance de equipos especializados. “Con modelos de IA de vanguardia y las herramientas adecuadas, un solo investigador completó en una semana lo que antes habría llevado meses de trabajo a un equipo de clase mundial”, señaló Wiz en el mismo texto, citado por CNN Business.

La comparación con Heartbleed, el bug de 2014

Los especialistas de Wiz situaron la magnitud del hallazgo a la altura de Heartbleed, la falla que en 2014 afectó a una tecnología de cifrado usada por dos tercios de la web y que permitió a delincuentes acceder a datos que debían estar protegidos. Según el equipo, PHP2Shell podría representar un punto de inflexión similar en la ciberseguridad del sector, informó CNN Business.

Bruce Dang, investigador de Calif, coincidió con esa lectura. “Es sin dudas uno de los errores más críticos del año”, afirmó, y agregó que “el impacto se va a sentir por un tiempo”.

Cynthia Kaiser, exfuncionaria del FBI que supervisó casos de ciberseguridad y que ahora trabaja en Halcyon, empresa tecnológica, resumió el nuevo escenario que impone la inteligencia artificial para quienes deben proteger sus sistemas. “Con la IA, aplicar parches ahora es una emergencia”, sostuvo.

Gobiernos de Europa y Asia pidieron desconectar sitios sin parche disponible

La Agencia de Seguridad Nacional de Estados Unidos recomendó a las organizaciones que no pudieran instalar el parche de inmediato que desconectaran sus sistemas de internet. Agencias de ciberseguridad del Reino Unido, Canadá, Australia y la unidad de emergencia cibernética de la Unión Europea hicieron advertencias similares.

Algunas administraciones, como el Gobierno de Finlandia y la Cámara de Representantes de los Países Bajos, desconectaron sus sitios de internet este miércoles como medida de precaución.

La primera ministra de Japón, Sanae Takaichi, se sumó al llamado a actuar con urgencia a través de las redes sociales. “Tenemos un pedido urgente para que todos actúen esta misma noche”, escribió, y agregó: “Si resulta difícil aplicar el parche de inmediato, suspender temporalmente los sitios web y medidas similares pueden considerarse una forma eficaz de reducir el riesgo”.

Un investigador estimó que más de 1,3 millones de sitios web quedaron expuestos por las fallas, de acuerdo con datos difundidos por Cybersecurity Dive. Cloudflare, que trabajó junto a los administradores de PHP, Calif, OpenAI y Wiz para atender el problema, confirmó que ya detectaba los primeros intentos de ataque mientras actualizaba sus propias defensas.

Calif y otros hallazgos previos con modelos de IA sin publicar

Calif integra un grupo reducido de empresas y organismos con acceso anticipado a modelos de inteligencia artificial todavía no publicados. Antes de este caso, la empresa había desarrollado un gusano capaz de comprometer rápidamente casi cualquier cuenta de WeChat con solo llamarla, y también, utilizó una versión temprana de un modelo para sortear los protocolos de seguridad del sistema operativo macOS de Apple.

OpenAI reconoció que este tipo de hallazgos no será un caso aislado. La compañía señaló que la falla de PHP se suma a “varias vulnerabilidades significativas que ya hemos encontrado y en las que estamos trabajando para solucionar”, y anticipó que espera que este tipo de descubrimientos “aumente de forma marcada en los próximos meses”.

Pese a la magnitud del hallazgo, datos del motor de búsqueda Shodan muestran que la adopción de PHP viene en descenso, ya que buena parte de los sitios web más recientes se construyen con tecnologías que no son vulnerables a este tipo de ataque.