La IA ayudó a descubrir PHP2Shell, pero el plan de divulgación fracasó
Frontier AI ayudó a descubrir PHP2Shell, dos fallos críticos de PHP que afectaban a cerca del 70% de los sitios web. Las filtraciones rompieron el embargo y OpenAI ahora propone un plan de acción para la divulgación de información.
Los modelos de IA de vanguardia ayudaron a descubrir PHP2Shell, dos fallos críticos en el motor PHP que se encuentra detrás de aproximadamente 70% de los sitios web, y la prisa por corregirlos demuestra la rapidez con la que la IA está reduciendo el tiempo de reacción de los defensores.
PHP lanzó correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y Instó a todos los usuarios a actualizar inmediatamente.. Los dos fallos, CVE-2026-109618 y CVE-2026-109619, tienen una calificación de 9.2 según CVSS v4.0 y pueden permitir la ejecución remota de código sin autenticación.
Cómo lo descubrió la IA
Según OpenAI, La empresa de seguridad Calif identificó una de las vulnerabilidades utilizando GPT-5.6 Sol a través del programa Patch the Planet de OpenAI, mientras que Wiz descubrió e informó de ambas de forma independiente. Wiz dice Utilizó sus propias herramientas junto con Gemini 4 Argon y GPT-5.6 Sol, y demostró la ejecución de código sin autenticación en WordPress, Drupal y Joomla.
Wiz afirma que todas las versiones de PHP lanzadas en la última década, desde la 5.4, se ven afectadas por al menos uno de estos errores. Explotarlos requería una serie de pasos que superaban con creces las capacidades prácticas de los investigadores humanos, y los modelos de vanguardia redujeron sustancialmente esa barrera.“
El embargo no se mantuvo
El lanzamiento coordinado estaba previsto para el 22 de octubre. Informes de TechTarget, Los identificadores CVE comenzaron a circular en foros el 20 de octubre, por lo que PHP adelantó el lanzamiento un día. El distribuidor Chainguard publicó entonces imágenes parcheadas horas antes, una medida que la Fundación PHP criticó y que el director ejecutivo de Chainguard defendió, citando informes de explotación activa.
Amazon afirma que sus sistemas de detección de intrusiones detectaron intentos de explotación ya el 17 de octubre. El director ejecutivo de Cloudflare, Matthew Prince, declaró que los intentos en su red alcanzaron los "millones" tras el anuncio.
El plan de acción propuesto por OpenAI
OpenAI aprovechó el episodio para proponer una respuesta en cinco etapas para los errores detectados por la IA que afectan a muchos productos a la vez: validar y corregir el fallo (incluida la prueba del parche con modelos de vanguardia), dar tiempo a las organizaciones afectadas para actuar, coordinarse con los socios gubernamentales, preparar actualizaciones para todos los productos y, finalmente, publicar directrices.
Afirma que estos fallos se encuentran entre varias vulnerabilidades importantes que ya ha descubierto, y prevé que hallazgos similares "aumenten drásticamente en los próximos meses".“
Por qué es importante
Los investigadores han demostrado Los agentes LLM pueden explotar vulnerabilidades conocidas. por un tiempo. PHP2Shell es esa capacidad a escala de internet, y llega la misma semana en que OpenAI reveló que su Los propios agentes de codificación debilitaron la vigilancia de seguridad..
Si los modelos pueden encontrar y convertir errores en armas tan rápidamente, los embargos prolongados parecen frágiles. Para cualquiera que utilice PHP, incluidos los sitios de WordPress, el consejo Es sencillo: actualiza el entorno de ejecución de PHP y reinicia todos los procesos. Actualizar solo la aplicación no soluciona el problema del código PHP subyacente.
