ChatGPT detecta errores graves en PHP que podrían haber afectado a gran parte de la web

• La inteligencia artificial de OpenAI ha logrado un avance significativo en ciberseguridad al identificar dos vulnerabilidades críticas en PHP. Este hallazgo, realizado por el avanzado modelo GPT-5.6 Sol, habría evitado riesgos masivos en la infraestructura de internet, consolidando la capacidad de ChatGPT para detectar fallos de seguridad complejos.

ChatGPT, el modelo de IA de OpenAI, vuelve a ser noticia, y es que podría haber salvado a más de medio internet en materia de ciberseguridad habiendo encontrado unas vulnerabilidades críticas en PHP. Este nuevo hito para la compañía llega por medio de GPT-5.6 Sol, el modelo más avanzado de OpenAI disponible en ChatGPT. Este ha sido el encargado de ayudar a investigadores de seguridad a descubrir y demostrar la explotación de dos vulnerabilidades críticas en PHP que podrían haber puesto en peligro una enorme parte de Internet.

Antes de ahondar más en la información, hay que darte un poco de contexto. PHP está presente en el 69,3% de los sitios web cuyo lenguaje de servidor puede identificarse, incluido en el que estás leyendo ahora mismo. OpenAI considera los fallos descubiertos como uno de los problemas de seguridad con mayor impacto de los últimos tiempos y asegura que, hasta donde sabe, la IA consiguió encontrarlos antes de que fueran aprovechados por atacantes. Y claro, esto es un problema cuando estamos viendo que actores malintencionados están usando la IA para acelerar encontrar estas vulnerabilidades.

GPT-5.6 Sol hizo en dos semanas lo que llevaba dos años atascando a los investigadores

Todo comenzó dentro de Repara el Planeta, una iniciativa de OpenAI para utilizar sus modelos más avanzados en la búsqueda preventiva de vulnerabilidades. La empresa de ciberseguridad Calif comenzó a auditar PHP con herramientas de OpenAI el 30 de julio de 2026. Esto, después de que recibiera una petición de la PHP Foundation. El problema subyacente era conocido desde 2024, pero durante unos dos años los desarrolladores e investigadores habían sido incapaces de encontrar una forma práctica de explotarlo o de desarrollar una solución definitiva.

La situación cambió rápidamente al introducir GPT-5.6 Sol en el proceso. El 11 de agosto, apenas dos semanas después de comenzar la investigación, Calif consiguió identificar una vulnerabilidad explotable con ayuda del modelo. Investigadores de OpenAI llegaron de forma independiente a resultados similares ese mismo día, mientras que Wiz descubrió posteriormente las dos vulnerabilidades por su cuenta utilizando también herramientas de inteligencia artificial.

Los fallos han recibido los identificadores CVE-2026-109618 y CVE-2026-109619, ambos con una puntuación crítica de 9,2 sobre 10 en CVSS 4.0. Afectan a la gestión de memoria y errores del propio motor de PHP y, bajo determinadas condiciones, permiten que un atacante a distancia sin credenciales ejecutara código en el servidor. Incluso podrían utilizarse para acceder a información sensible almacenada en la memoria, como contraseñas, tokens de autenticación o claves API. Lo especialmente preocupante es que el problema está en el núcleo de PHP, por lo que una web podría ser vulnerable incluso aunque su propio código no tuviese ningún fallo de seguridad.

ChatGPT se convierte, al menos esta vez, en el salvador de Internet

Y sí, parece que ChatGPT se ha convertido de forma inesperada en el salvador de Internet. Tras encontrar la vulnerabilidad, PHP confirmó que todas las instalaciones que procesan peticiones web deben considerarse expuestas, incluyendo PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es especialmente elevado con mod_php, donde se ha demostrado que una petición sin autenticar puede activar el ataque incluso antes de que llegue a ejecutarse el código de la propia aplicación.

Tras dos meses de trabajo coordinado entre OpenAI, los desarrolladores de PHP, Calif, Wiz, Cloudflare y diferentes organismos de ciberseguridad, PHP publicó las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, que corrigen ambas vulnerabilidades. Las versiones PHP 8.1 y anteriores ya están fuera del soporte oficial del proyecto, por lo que sus responsables deben actualizar a una rama compatible o depender de parches proporcionados por terceros. PHP advierte además de que no existe una mitigación completa: actualizar es la única solución segura.

OpenAI define este escenario como la ventana de oportunidad para los defensores. La idea es aprovechar que los modelos de IA más potentes ya pueden descubrir y desarrollar exploits extremadamente complejos para localizar estas vulnerabilidades antes de que esas mismas capacidades lleguen a manos de ciberdelincuentes. Es por ello que estamos viendo que los modelos de IA más avanzados ya no salen de forma pública. Tras lo ocurrido con Mythos, el modelo de IA orientado a la ciberseguridad más avanzado de Claude. En este caso, según OpenAI, la estrategia habría funcionado. La IA encontró los fallos antes de que existiesen evidencias de que atacantes los estuvieran utilizando, permitiendo preparar los parches antes de hacer pública toda la información.