OpenAI publicó el 21 que, a través de su plan "Patch the Planet" (Parchear el Planeta), ayudó a investigadores de seguridad a descubrir dos vulnerabilidades graves en el lenguaje PHP, y que junto con el equipo de mantenimiento, empresas de seguridad, proveedores de nube y agencias de ciberseguridad de varios países completó unos 2 meses de corrección coordinada antes de su divulgación.
Las dos vulnerabilidades se conocen en conjunto como "PHP2Shell", con los números CVE-2026-109618 y 109619, ambas con una puntuación CVSS v4.0 de 9.2. La empresa de seguridad Calif descubrió una de las fallas críticas mediante el modelo GPT-5.6 Sol de OpenAI, mientras que Wiz, de Google, la reportó de forma independiente; los mantenedores oficiales de PHP lideraron la verificación, la corrección y la publicación de las versiones, con apoyo en investigación, asistencia técnica y coordinación interinstitucional de OpenAI, Wiz, Cloudflare y otros. OpenAI afirmó que este es un ejemplo de cómo la IA de frontera puede descubrir vulnerabilidades de alto riesgo antes que los atacantes, ganando una "ventana del defensor", aunque esa misma capacidad también podría ser aprovechada más rápido por los atacantes.
El setenta por ciento de los sitios web afectados, los parches ya están disponibles
PHP es un lenguaje de scripting de código abierto que sostiene una enorme cantidad de sitios web; se estima que cerca del 70% de los sitios dependen de él para funcionar. Esta vulnerabilidad permite a atacantes no autorizados ejecutar código de forma remota, alterar contenido, robar datos e incluso tomar el control de servidores. La Fundación PHP ya publicó el 21 una actualización de emergencia, con versiones corregidas que abarcan 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
Para ayudar a los administradores a verificar sus sistemas, OpenAI puso en línea una herramienta de comprobación de versiones de PHP; además, anunció una inversión de 1000 millones de dólares para subsidiar capacidades de seguridad con IA, a través de "Daybreak for Frontline Defenders", a organizaciones con recursos limitados que protegen servicios críticos. Esta defensa global orquestada por la IA está llevando la respuesta a vulnerabilidades hacia un nuevo ritmo de "adelantarse a los atacantes".