IT之家 El 22 de octubre, la empresa OpenAI publicó un artículo en su blog ayer (21 de octubre), anunciando que, a través de su programa “Patch the Planet”, ayudó a los investigadores de seguridad a descubrir dos vulnerabilidades graves en el lenguaje de programación PHP. Además, en colaboración con el equipo de mantenimiento de PHP, empresas de seguridad, proveedores de servicios en la nube y agencias nacionales de seguridad cibernética, se completaron las reparaciones coordinadas en aproximadamente dos meses, antes de que las vulnerabilidades se hicieran públicas.
La empresa de seguridad Calif utilizó el modelo GPT-5.6 Sol de OpenAI para descubrir una falla clave; Wiz, perteneciente a Google, también identificó y reportó el problema de forma independiente. Los mantenedores oficiales de PHP lideraron la verificación de vulnerabilidades, el desarrollo de correcciones y la publicación de versiones; OpenAI, Wiz y Cloudflare proporcionaron investigación, soporte técnico y coordinación interinstitucional para completar los preparativos de protección antes de su divulgación pública.
OpenAI afirma que este es un caso de IA avanzada que detecta vulnerabilidades peligrosas antes de los atacantes, lo que permite a los guardianes y defensores obtener lo que se denomina “la ventana del defensor”. Sin embargo, la empresa también reconoce que las mismas capacidades de IA podrían ser utilizadas por los atacantes para desarrollar más rápidamente herramientas de ataque y programas de aprovechamiento de vulnerabilidades, lo que implica que los riesgos de seguridad y el valor defensivo coexisten.
IT Home informó anteriormente que las dos vulnerabilidades expuestas se denominan conjuntamente “PHP2Shell”. Sus números de identificación son CVE-2026-109618 y CVE-2026-109619, y su puntaje CVSS v4.0 es 9.2.
PHP es un lenguaje de script de código abierto que sustenta a numerosos sitios web y aplicaciones web en todo el mundo. Se estima que alrededor del 70% de los sitios dependen de él para funcionar. Esta vulnerabilidad podría permitir que atacantes no autenticados ejecuten código a distancia, modificando así el contenido del sitio, leer datos sensibles o invadir el servidor.La Fundación PHP publicó una actualización de seguridad urgente el 21 de octubre, incluyendo las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Para ayudar a los operadores a identificar riesgos, OpenAI ha lanzado una herramienta de verificación de versiones PHP, como una habilidad de Codex, que permite a los técnicos identificar las versiones de PHP que podrían verse afectadas, y combinarla con las instrucciones oficiales de actualización para determinar las soluciones de corrección adecuadas.
OpenAI recomienda que las organizaciones que usan PHP apliquen lo antes posible la corrección, examine la exposición del sistema y, de acuerdo con las directrices de prioridad de riesgo de CISA, realice reparaciones urgentes, medidas temporales de mitigación o actualizaciones planificadas.
OpenAI también anunció que invertirá 1.000 millones de dólares (Nota de IT Home: en el tipo de cambio actual, equivale a aproximadamente 6.691 millones de yuanes), proporcionando acceso subsidiado a organizaciones con recursos de seguridad limitados que se encargan de servicios clave, a través de “Daybreak for Frontline Defenders”, para ayudarlas a utilizar la IA en la detección de vulnerabilidades, el monitoreo de sistemas y las respuestas de emergencia.
La empresa también propone un marco de respuesta a vulnerabilidades para la era de la IA, que incluye cinco etapas: verificación y reparación en la fase anterior, notificación anticipada a las instituciones afectadas, colaboración con el gobierno, preparación para actualizaciones entre productos y soporte de despliegue después de la publicación del parche.
Leer también: