Investigadores de seguridad descubrieron vulnerabilidades graves en PHP, el lenguaje de scripting de código abierto que impulsa aproximadamente el 70% de los sitios web del mundo, con la asistencia de un modelo de OpenAI.

Las fallas, denominadas en conjunto PHP2Shell, han sido descritas como potencialmente entre las más graves descubiertas en PHP en más de una década, y algunos expertos han establecido comparaciones con Heartbleed, la notoria vulnerabilidad de OpenSSL divulgada en 2014 que permitía a los atacantes leer fragmentos de la memoria del servidor.

Lo que encontraron los investigadores

Las vulnerabilidades salieron a la luz durante una auditoría realizada en agosto de 2026 por investigadores de Calif, una firma de seguridad. El equipo utilizó GPT-5.6 Sol, uno de los modelos de OpenAI, para examinar el código fuente de PHP. Ryan Austin, de Calif, es reconocido por descubrir las vulnerabilidades.

Los errores permiten la ejecución remota de código y el control de la memoria del servidor. En términos prácticos, un atacante ubicado en cualquier punto de internet podría forzar a un servidor a ejecutar instrucciones que nunca debió ejecutar.

Parte de lo que hace significativo este hallazgo es dónde se encuentran las fallas: en el propio PHP, y no en alguna aplicación o complemento individual construido sobre él.

Según los hallazgos de la investigación, las fallas podrían exponer datos sensibles de los visitantes de los sitios. También podrían servir como punto de apoyo para nuevos ciberataques contra otros sistemas.

Cómo se desarrolló la divulgación

El CEO de Calif, Thai Duong, alertó a Volker Dusch, quien trabaja en PHP, el 11 de agosto, iniciando un esfuerzo coordinado y discreto para corregir el problema antes de que los atacantes pudieran enterarse. Ese enfoque de privacidad primero es la práctica de seguridad estándar conocida como divulgación coordinada de vulnerabilidades, en la que las fallas se corrigen en secreto antes de que los detalles se hagan públicos.

El esfuerzo de respuesta reunió a mantenedores de PHP, investigadores externos, proveedores de seguridad y agencias estadounidenses, incluidas CISA (la Agencia de Seguridad de Infraestructura y Ciberseguridad) y ONCD (la Oficina del Director Nacional de Ciberseguridad).

OpenAI anunció su iniciativa "Patch the Planet" el 21 de octubre de 2026. El programa está diseñado para movilizar a los defensores en torno a las vulnerabilidades PHP2Shell y apoyar el esfuerzo coordinado de corrección. Una fuga parcial de información sobre las fallas obligó al equipo a adelantar la publicación del parche al 22 de octubre.

Como parte de la iniciativa, OpenAI está aportando 1.000 millones de dólares en acceso subsidiado a modelos. El objetivo es poner herramientas de IA en manos de los defensores de primera línea que trabajan en vulnerabilidades como estas.

Por qué la búsqueda de errores asistida por IA cambia el panorama

Los expertos citados en la investigación establecieron el paralelismo con Heartbleed. También subrayaron que el descubrimiento de vulnerabilidades mejorado con IA es un arma de doble filo: la misma capacidad que ayuda a los defensores a detectar fallas podría ayudar a los atacantes a encontrarlas y explotarlas.

Esa tensión está en el centro del compromiso de 1.000 millones de dólares de OpenAI. Si los modelos pueden revelar fallas críticas más rápido, la carrera se trata de quién las utiliza primero. Subsidiar el acceso para los defensores es un intento de inclinar esa carrera hacia las personas que realizan las correcciones.

Qué significa esto

Para los operadores de sitios web, la prioridad inmediata es simple: actualizar. Existe un parche, y la fuga parcial significa que el reloj comenzó a correr antes de que nadie lo quisiera. Dado que PHP sustenta una parte tan grande de la web, esa actualización va mucho más allá de un solo sitio o proveedor de hosting.

Para el mundo del código abierto, PHP2Shell es otro recordatorio de un problema estructural: la infraestructura crítica de internet a menudo descansa en proyectos mantenidos por equipos pequeños, una dependencia que se convierte en un riesgo sistémico cuando surgen fallas de esta gravedad. La fuerte participación de agencias estadounidenses en esta divulgación muestra la seriedad con la que los gobiernos tratan ahora esa dependencia.

Qué observar a continuación: la rapidez con la que los sitios aplican el parche del 22 de octubre, si se reporta alguna explotación de PHP2Shell en la práctica, y cómo OpenAI distribuye sus 1.000 millones de dólares en acceso subsidiado.