OpenAI dijo que Calif utilizó su modelo GPT-5.6 Sol para identificar una de dos vulnerabilidades críticas de PHP que investigadores de Wiz descubrieron de forma independiente. Los parches para CVE-2026-109618 y CVE-2026-109619 se publicaron el 21 de octubre de 2026.

El FBI instó a las organizaciones a actualizar de inmediato las instalaciones de PHP afectadas, advirtiendo que las fallas podrían permitir la ejecución remota de código en el núcleo de PHP. Según CZ, los detalles de las vulnerabilidades se filtraron prematuramente y la explotación en ataques reales se confirmó casi inmediatamente después de su divulgación.

OpenAI informó del descubrimiento y la corrección de dos vulnerabilidades críticas de PHP mediante su iniciativa Patch the Planet. Los parches para las fallas se publicaron el 21 de octubre de 2026, mientras el FBI advirtió que podrían permitir a actores maliciosos ejecutar código de forma remota en el núcleo de PHP y potencialmente comprometer datos sensibles y redes.

Las vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan a PHP, un lenguaje de programación ampliamente utilizado que impulsa sitios web y aplicaciones web. OpenAI dijo que Calif encontró una de las vulnerabilidades utilizando el modelo GPT-5.6 Sol, mientras especialistas de Wiz descubrieron ambas de forma independiente.

Los mantenedores de PHP lideraron el esfuerzo de aplicación de parches, con contribuciones de OpenAI, Wiz y Cloudflare, según OpenAI.

El FBI y OpenAI instan a actualizar de inmediato

En una publicación del 21 de octubre, el FBI instó a las organizaciones a actualizar inmediatamente las instalaciones de PHP afectadas e inventariar todos los lugares donde se ejecuta PHP, priorizando los sistemas expuestos a internet y los productos de proveedores que incluyen el lenguaje. Si no es posible realizar una actualización inmediata, la agencia recomendó desconectar el sistema afectado hasta que pueda mitigarse por completo.

El FBI también aconsejó a las organizaciones monitorear los servidores web en busca de actividad sospechosa, incluidos procesos de PHP que inesperadamente inicien shells de comandos o descarguen archivos. Las organizaciones que identifiquen señales de compromiso deben aislar los sistemas afectados, preservar los registros de los servidores web y de PHP, y reportar el incidente a una oficina local del FBI o mediante el servicio de reportes en línea de la agencia.

La agencia remitió a las organizaciones al anuncio de PHP, al Aviso de Seguridad 2026-018 de CERT-EU y al catálogo de Vulnerabilidades Explotadas Conocidas de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos para obtener información actualizada.

OpenAI dijo que instalar los parches debe ser la máxima prioridad para las organizaciones que utilizan PHP. También lanzó un verificador de versiones de PHP como una habilidad de Codex para ayudar a los administradores a identificar versiones potencialmente vulnerables y determinar qué actualizaciones necesitan.

Según una publicación de CZ, los detalles de las vulnerabilidades se filtraron prematuramente en internet, y la explotación en ataques reales se confirmó casi inmediatamente después de la divulgación. CZ dijo que las fallas podrían amenazar a servidores que ejecutan plataformas ampliamente utilizadas, incluidas WordPress y Magento. Los equipos de TI comenzaron a implementar reglas de firewall de aplicaciones web e instalar actualizaciones para proteger los sistemas.

OpenAI expone una respuesta coordinada

OpenAI calificó el caso como uno de los mayores incidentes de seguridad de los últimos tiempos debido a la gravedad de las vulnerabilidades y al uso generalizado de PHP. La compañía dijo que, hasta donde sabe, modelos avanzados de IA identificaron las fallas antes que los actores maliciosos, lo que dio a desarrolladores y proveedores de seguridad tiempo para preparar parches y mitigaciones antes de la divulgación pública.

OpenAI también advirtió que los atacantes podrían utilizar las mismas capacidades de IA para desarrollar rápidamente herramientas de ataque y exploits.

Basándose en la respuesta de PHP, OpenAI propuso un enfoque de cinco etapas para gestionar vulnerabilidades críticas en software ampliamente utilizado. La primera etapa reúne a mantenedores, investigadores y socios técnicos para confirmar la vulnerabilidad, evaluar su impacto, desarrollar una corrección y probarla frente a posibles métodos de elusión.

La segunda etapa proporciona aviso previo a las organizaciones que necesitan tiempo de preparación, lo que permite a los distribuidores adaptar las correcciones para versiones antiguas y a los proveedores de servicios probar medidas de protección. La tercera coordina con socios gubernamentales que pueden distribuir orientación a organizaciones responsables de infraestructura crítica y servicios esenciales.

La cuarta etapa involucra a distribuidores, proveedores de alojamiento, proveedores de servicios y equipos de respuesta a incidentes en la preparación de actualizaciones para productos vulnerables. La etapa final abarca la publicación de instrucciones de actualización, mitigaciones temporales y recomendaciones de verificación de sistemas, junto con apoyo para el despliegue.

OpenAI dijo que los plazos de respuesta deberían cambiar si hay indicios de explotación activa, ocurre una filtración de datos o los retrasos en la entrega de una corrección aumentan los riesgos para los usuarios.

Mediante Patch the Planet, OpenAI también trabaja con agencias gubernamentales de ciberseguridad y ayuda a coordinar esfuerzos para proteger sistemas vulnerables. Por separado, la compañía anunció planes para proporcionar 1.000 millones de dólares en acceso subvencionado a Daybreak mediante el programa Daybreak for Frontline Defenders, destinado a organizaciones que protegen servicios esenciales pero cuentan con recursos de seguridad limitados.

Fuente: HODL Press