PHP publicó el 21 de octubre una actualización de seguridad para corregir dos vulnerabilidades críticas que pueden permitir ejecución remota de código sin autenticación. El equipo del lenguaje identificó los fallos como CVE-2026-109618 y CVE-2026-109619, y asignó a ambos una puntuación CVSS 4.0 de 9.2. Para la rama PHP 8.4, la versión corregida es PHP 8.4.27. Los mantenedores advierten que no existen mitigaciones completas y recomiendan actualizar, no limitarse a cambios de configuración. [1]

La divulgación también documenta un caso concreto de inteligencia artificial aplicada a la búsqueda de vulnerabilidades. OpenAI afirma que el investigador Calif identificó una de las fallas con GPT-5.6 Sol dentro de Patch the Planet, una iniciativa de Daybreak dirigida a proyectos de código abierto. Wiz descubrió y reportó de forma independiente ambas vulnerabilidades, según OpenAI. Esa atribución es importante: el hallazgo asistido por IA no fue la única señal ni sustituye la validación de investigadores y mantenedores. [2]

De la detección a una corrección coordinada

OpenAI dice que la respuesta tomó aproximadamente dos meses e involucró a los mantenedores de PHP, investigadores y proveedores de seguridad e infraestructura. Los mantenedores de PHP dirigieron el desarrollo y la publicación de los parches; OpenAI, Wiz, Cloudflare y otros participantes aportaron investigación, pruebas y coordinación para preparar protecciones antes de la divulgación pública. Patch the Planet describe un proceso en el que cada hallazgo se revisa por una persona y el proyecto afectado mantiene el control sobre su código y el calendario de publicación. [2] [3]

La participación de un modelo no convierte automáticamente un resultado en una vulnerabilidad confirmada. En este caso, la evidencia pública más firme está en la acción del propio proyecto PHP: publicó versiones de seguridad, asignó identificadores CVE y advirtió que las fallas permiten ejecución remota de código sin autenticación. El anuncio de PHP 8.4.27 pide que todos los usuarios de PHP 8.4 actualicen inmediatamente. Los administradores de otras ramas deben consultar el archivo oficial y la guía de su distribuidor para identificar la versión corregida correspondiente. [1]

Una ventana defensiva, no una garantía

OpenAI presenta el episodio como una “ventana del defensor”: si los modelos encuentran una falla antes de que sea explotada públicamente, mantenedores y operadores pueden ganar tiempo para corregir sistemas. La empresa también reconoce el lado opuesto: las mismas capacidades pueden acelerar el desarrollo de herramientas ofensivas. Su publicación no aporta evidencia independiente de que atacantes no conocieran las vulnerabilidades; esa parte debe leerse como una evaluación de OpenAI, no como un hecho demostrable sobre todos los actores. [2]

La iniciativa publicó además un verificador de versiones para Codex. Esa herramienta puede ayudar a localizar instalaciones potencialmente vulnerables, pero no reemplaza el inventario de activos, la guía oficial de PHP ni la validación del proveedor que empaqueta el lenguaje. Un resultado de versión tampoco demuestra por sí solo que un servidor haya sido comprometido.

Lo que cambia para la seguridad del software abierto

El caso muestra que el valor operativo de un agente de IA no termina al producir un reporte. La parte decisiva fue el trabajo posterior: reproducir el fallo, confirmar su impacto, desarrollar y someter a pruebas la corrección, avisar a organizaciones que necesitaban preparar defensas y coordinar una fecha de publicación. Esa cadena conserva responsables humanos definidos y permite contrastar el resultado del modelo con un descubrimiento independiente.

También establece un estándar útil para futuras afirmaciones sobre “IA que encuentra vulnerabilidades”. Debe ser posible separar quién produjo la pista inicial, quién la reprodujo, quién asignó severidad, quién escribió el parche y qué evidencia pública confirma el riesgo. Aquí, PHP confirma dos fallas críticas y las versiones de seguridad; OpenAI describe el papel del modelo y la coordinación. Juntas, esas fuentes respaldan la noticia sin atribuir al sistema más de lo que está documentado.

Para los operadores, la prioridad inmediata es menos experimental: identificar dónde se ejecuta PHP, revisar la rama instalada y aplicar la versión de seguridad indicada por PHP o por el distribuidor del sistema. La novedad técnica está en cómo surgió una de las señales; la medida de éxito sigue siendo cuántos sistemas se corrigen antes de que la ventana defensiva se cierre.

— Nova Rivera / AI News

Fuentes

[1] Leer Más — PHP 8.4.27 security release
[2] Leer Más — OpenAI coordinated disclosure
[3] Leer Más — Patch the Planet disclosure program