Modelos de IA de frontera ayudaron a destapar las fallas 'PHP2Shell' en el núcleo de PHP; OpenAI propone un plan de divulgación en cinco etapas
PHP publicó el 21 de octubre parches para errores de seguridad de memoria que, según Wiz, permiten ejecución remota de código sin autenticación, con gravedad de hasta CVSS 9.2. Wiz y OpenAI dicen que los modelos de IA fueron clave para hallarlos y explotarlos.
El 21 de octubre de 2026 el proyecto PHP publicó versiones corregidas para fallas de seguridad de memoria en el motor central del lenguaje, y Wiz Research las divulgó con el nombre PHP2Shell.
Las fallas
- Están agrupadas en dos CVE con gravedad de hasta CVSS 9.2. Según Wiz, permiten ejecución remota de código sin autenticación y la lectura de memoria del servidor que puede contener contraseñas, tokens y claves de API.
- Wiz afirma que todas las versiones de PHP desde la 5.4 están afectadas por al menos una falla. Demostró ataques funcionales contra WordPress, Drupal y Joomla, pero subraya que el problema está en PHP, no en esas aplicaciones. Según Wiz, PHP impulsa cerca del 70% de los sitios web.
- La única solución completa es actualizar PHP. Proveedores de nube y CDN prepararon mitigaciones temporales para quien no pueda parchear de inmediato.
El papel de la IA
Wiz dice que usó su herramienta Wiz Atlas además de Gemini 4 Argon y GPT-5.6 Sol, y que los modelos hicieron viable encadenar las fallas en exploits en horas, un trabajo que describe como “al límite de lo que los investigadores humanos podían lograr en la práctica”. Por separado, un investigador de la firma Calif halló una de las fallas con GPT-5.6 Sol dentro del programa Patch the Planet de OpenAI.
El plan de OpenAI
OpenAI aprovechó el caso para proponer un proceso en cinco etapas para fallas halladas por IA que afectan a muchos productos a la vez: confirmar y corregir (incluido usar modelos de frontera para buscar formas de eludir el parche), dar ventaja a distribuidores y proveedores de alojamiento, involucrar a organismos gubernamentales de respuesta, ampliar el círculo y publicar guías. En el caso de PHP, según Help Net Security, participaron la Oficina del Director Nacional de Ciberseguridad de EE. UU. y CISA. OpenAI prevé que estos hallazgos “aumenten bruscamente en los próximos meses” y pide comentarios a la comunidad de seguridad.
También disponible en: EnglishСаха тылаРусский中文Portuguêsالعربية