IA de OpenAI ayudó a detectar fallas críticas en PHP

Investigadores de la firma de ciberseguridad Calif usaron GPT-5.6 Sol, de OpenAI, para identificar una falla crítica en PHP. El trabajo formó parte de una respuesta coordinada a dos vulnerabilidades que permiten ejecutar código a distancia en servidores afectados, incluso sin iniciar sesión. Ambas recibieron una puntuación de gravedad de 9,2 sobre 10.

PHP es un lenguaje de programación que utilizan plataformas como WordPress, Drupal y Joomla para procesar solicitudes y generar páginas web. Una falla en ese componente puede comprometer al servidor que sostiene el sitio, aunque la aplicación instalada encima tenga su propio código correctamente protegido.

La alerta llevó a organismos públicos y empresas de varios países a suspender servicios web mientras aplicaban medidas de seguridad. En Países Bajos hubo interrupciones en portales gubernamentales, hospitales y el puerto de Róterdam. Los cierres preventivos también alcanzaron servicios en otros países europeos y Japón.

Las fallas de PHP dejaron memoria en un estado inseguro

Las vulnerabilidades se registraron como CVE-2026-109618 y CVE-2026-109619. Los errores afectan la forma en que el lenguaje administra la memoria y maneja interrupciones graves. Una solicitud puede terminar cuando ciertos datos internos todavía están incompletos, o dejar referencias a memoria que ya se liberó. Si el sistema vuelve a utilizar ese estado incorrecto, un atacante puede aprovecharlo para alterar su funcionamiento.

El avance consistió en demostrar cómo convertir esas debilidades en ataques que funcionaran. Calif explicó que sus investigadores dirigieron la revisión con conocimientos previos del lenguaje y pidieron al modelo examinar patrones concretos. La empresa reportó el primer hallazgo en agosto y señaló que el equipo de PHP confirmó que su prueba de explotación funcionaba.

Servidor identificado con PHP y una mano que desconecta su cable de red durante un mantenimiento preventivo — Los investigadores demostraron que las fallas permitían ejecutar código a distancia en servidores afectados sin iniciar sesión.

Wiz realizó una investigación independiente con sus propias herramientas, Gemini 4 Argon y GPT-5.6 Sol. Su equipo demostró ejecución remota de código en instalaciones de prueba de WordPress, Drupal y Joomla. También comprobó que podía extraer información de la memoria del proceso, donde pueden quedar contraseñas, tokens de autenticación y claves de servicios.

El problema tenía antecedentes. PHP Foundation reconoció que los primeros indicios de una de las fallas surgieron en 2024, pero entonces no se encontraron vías concretas de explotación. La corrección se trabó por dificultades técnicas, decisiones del equipo y falta de recursos. La fundación calificó esa demora como “una falla estructural”.

Las actualizaciones y la revisión humana siguen siendo necesarias

El proyecto publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para quienes administran una página, la actualización corresponde al PHP que utiliza el servidor, por lo que puede requerir la intervención del proveedor de alojamiento. Los sistemas antiguos necesitan revisar el soporte y los parches disponibles con su proveedor.

El servicio de ciberseguridad de las instituciones de la Unión Europea recomendó aislar de las redes públicas las aplicaciones expuestas cuando no fuera posible aplicar y verificar la corrección de inmediato. Las medidas temporales reducen determinadas vías de ataque, pero no reemplazan la actualización.

La evaluación del riesgo también evolucionó. El NCSC (Nationaal Cyber Security Centrum, Centro Nacional de Ciberseguridad de Países Bajos) informó que la explotación era compleja y que la probabilidad de abuso a gran escala era menor de lo estimado inicialmente. Mantuvo la recomendación de actualizar con urgencia.

OpenAI coordinó parte de la respuesta con mantenedores y proveedores para probar correcciones y preparar protecciones. La empresa presentó el caso como una oportunidad para usar la IA en ciberdefensa antes de que capacidades similares faciliten ataques. PHP Foundation precisó que las herramientas ayudan a validar reportes, mientras las personas toman las decisiones y trabajan en cada parche.

Después de los parches iniciales, PHP también advirtió sobre otra vía de ejecución de código asociada a una configuración poco habitual. Recomendó desactivar temporalmente el seguimiento del progreso de carga de archivos, una función del servidor, hasta una próxima versión de corrección regular. El aviso distingue ese escenario específico de las dos fallas originales.