Investigadores de seguridad utilizaron modelos de OpenAI y Google para identificar vulnerabilidades en el núcleo de PHP. El caso, conocido como PHP2Shell, ha provocado una respuesta coordinada y la publicación de actualizaciones urgentes.
Dos fallos en una pieza fundamental de la web
El 21 de octubre de 2026, los responsables de PHP publicaron actualizaciones para corregir dos vulnerabilidades críticas capaces de permitir la ejecución remota de código sin autenticación.
Identificadas como CVE-2026-109618 y CVE-2026-109619, forman parte del caso conocido como PHP2Shell. Su relevancia está en la ubicación del problema: el propio motor de PHP, una tecnología utilizada por numerosas páginas y aplicaciones.
Esto no significa que millones de webs hayan sido atacadas. Significa que las instalaciones vulnerables necesitan protección antes de que alguien consiga aprovechar los fallos.
Qué papel tuvieron GPT-5.6 Sol y Gemini 4 Argon
Según OpenAI, la firma de seguridad Calif identificó una vulnerabilidad crítica con ayuda de GPT-5.6 Sol dentro de la iniciativa Patch the Planet.
De forma independiente, Wiz descubrió y comunicó ambos problemas utilizando su plataforma Wiz Atlas junto con Gemini 4 Argon y GPT-5.6 Sol.
Wiz destaca la contribución de Gemini en la investigación, el desarrollo de pruebas de explotación, la detección de ataques y la validación del parche.
El hallazgo fue fruto del trabajo de investigadores apoyados por IA. La información publicada no permite describirlo como una operación completamente autónoma de dos modelos.
Por qué un problema en PHP afecta a tantas aplicaciones
PHP permite que el servidor procese las peticiones de una web y genere sus respuestas. Plataformas como WordPress, Drupal y Joomla lo utilizan para ejecutar sus funciones.
Podemos imaginarlo como una instalación compartida por muchos edificios: aunque cada propietario mantenga su vivienda en buen estado, un defecto en esa infraestructura común puede afectarle.
En este caso, los errores están relacionados con la gestión de memoria y el tratamiento de fallos durante las peticiones. Determinadas situaciones pueden dejar datos internos en un estado incorrecto que se reutiliza posteriormente.
Wiz demostró ejecución de código sin autenticación en instalaciones de varios gestores de contenido. También documentó la posibilidad de extraer información sensible de la memoria del proceso.
El impacto concreto depende del entorno y de la vía de explotación. Tener una instalación expuesta no demuestra, por sí solo, que se hayan robado datos.
Una respuesta coordinada durante dos meses
OpenAI describe un trabajo de aproximadamente dos meses entre mantenedores, investigadores y proveedores de seguridad para preparar la respuesta.
Los responsables de PHP dirigieron las correcciones y su publicación. Otros participantes aportaron investigación, pruebas, medidas de protección y coordinación con proveedores y organismos públicos.
El objetivo de este proceso era dar tiempo a preparar defensas antes de divulgar los detalles técnicos. Preparar una solución, sin embargo, no equivale a tenerla instalada en todos los servidores afectados.
La IA también reduce las barreras para los atacantes
Una de las conclusiones de Wiz es que los modelos pueden facilitar la adaptación de ataques a distintas versiones y configuraciones de PHP.
Un método que funciona en un servidor puede fallar en otro por diferencias en el uso de memoria o en el comportamiento de la aplicación. Analizar esas diferencias y ajustar las pruebas exige trabajo especializado.
La IA puede acelerar parte de ese proceso. Eso beneficia a quienes investigan para corregir errores, pero también puede ampliar las capacidades de quienes buscan explotarlos.
No significa que cualquier ataque sea instantáneo o infalible. Significa que la complejidad técnica puede ofrecer menos protección de la que se suponía.
Qué deben hacer los responsables de una web
El aviso oficial identifica como versiones corregidas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Los proveedores de distribuciones también pueden ofrecer paquetes con las correcciones incorporadas.
Si utilizas un alojamiento gestionado, comprueba con tu proveedor que ha aplicado la actualización correspondiente a tu servicio. Actualizar WordPress, un tema o un plugin no sustituye la corrección del PHP que ejecuta el servidor.
Las instalaciones antiguas requieren especial atención: sus responsables deben verificar si disponen de una corrección mantenida por el proveedor o necesitan migrar a una versión con soporte.
PHP advierte de que las mitigaciones parciales no ofrecen una solución completa. Un cortafuegos puede aportar protección adicional, pero no debe darse por equivalente al parche.
Priorizar los sistemas expuestos a internet
ENISA y otros organismos europeos recomiendan identificar las aplicaciones basadas en PHP, coordinarse con los proveedores y aplicar las actualizaciones, dando prioridad a los sistemas accesibles desde internet.
Cuando no sea posible corregirlos de inmediato, aconsejan considerar el aislamiento de las aplicaciones expuestas hasta poder instalar la solución.
Para quienes simplemente utilizan una web, la corrección depende del operador del servicio. El visitante no puede actualizar el PHP de un servidor ajeno desde su navegador.
La lectura de SombraRadio
PHP2Shell muestra que la aportación de la IA a la seguridad va más allá de señalar fragmentos sospechosos: puede ayudar a demostrar el impacto de un error y a comprobar si una corrección funciona.
Pero encontrar el fallo es solo una parte del trabajo. La protección efectiva depende de quienes mantienen el software, distribuyen los parches y administran las aplicaciones.
La lección para una empresa o un pequeño medio digital es concreta: saber qué infraestructura utiliza, quién la actualiza y cómo confirmar que las correcciones están aplicadas.
Detectar vulnerabilidades con mayor rapidez aporta valor cuando esa ventaja se traduce en sistemas protegidos.
Fuentes consultadas
- PHP: aviso oficial de seguridad y versiones corregidas
- Wiz: investigación sobre PHP2Shell y participación de los modelos de IA
- OpenAI: coordinación de la respuesta mediante Patch the Planet
- ENISA: comunicado conjunto sobre las vulnerabilidades críticas de PHP
Sombra Radio · Apoyo de lectores
Ayuda a mantener viva Sombra Radio
Tu aportación voluntaria nos ayuda a seguir publicando sobre IA. Puedes apoyarnos desde 1 € al mes.
