La IA, en tu trabajo.

PHP publicó el 21 de octubre actualizaciones para dos vulnerabilidades críticas que pueden permitir ejecutar código a distancia sin autenticación. El caso, conocido como PHP2Shell, reúne investigación asistida por IA y una respuesta dirigida por los mantenedores. Las versiones corregidas están en la página oficial de descargas; cada operador debe determinar qué actualización corresponde a sus servicios.

Qué se ha corregido

Los avisos oficiales describen dos problemas de gestión de memoria en el motor de PHP. Las vías de explotación dependen de la versión, la configuración y la forma de ejecutar el intérprete.

• CVE-2026-109618: un fallo por agotamiento de memoria puede interrumpir la inicialización de datos internos; la limpieza posterior puede utilizarlos como si fueran válidos.
• CVE-2026-109619: un proceso puede conservar referencias a memoria liberada de una petición y utilizarlas al atender otra.

Qué sabemos del papel de la IA

OpenAI atribuye a Calif un hallazgo con GPT-5.6 Sol y reconoce el descubrimiento independiente de ambas vulnerabilidades por Wiz. Los mantenedores de PHP lideraron las correcciones y su publicación.

En su investigación técnica, Calif explica cómo el conocimiento previo del investigador sobre PHP orientó el análisis con modelos y describe pruebas de ejecución remota en distintas aplicaciones. Son escenarios reproducidos por sus autores, no una auditoría de todas las instalaciones.

Wiz detalla por separado el uso de Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol, con demostraciones sobre WordPress, Drupal y Joomla. Estos relatos permiten contrastar contribuciones, pero no constituyen una evaluación independiente que aísle cuánto aportó cada modelo.

Cómo organizar la respuesta

A partir de esta experiencia, OpenAI propone cinco etapas. Los mantenedores deciden a quién incluir antes de la divulgación.

• Validar el hallazgo y probar la corrección.
• Avisar a quienes necesitan preparar protecciones.
• Coordinar la respuesta con organismos públicos.
• Preparar actualizaciones con distribuidores y proveedores.
• Publicar orientación y apoyar el despliegue.

Versiones disponibles y paquetes de proveedores

Estas son las primeras versiones oficiales corregidas, disponibles en las descargas de PHP. La tabla se refiere a versiones originales del proyecto: un distribuidor puede incorporar el parche sin adoptar esa numeración.

PHP señala que 8.1 y anteriores carecen de soporte regular y enlaza adaptaciones mínimas para 7.4, 8.0 y 8.1. La disponibilidad de paquetes corregidos depende del proveedor.

El aviso posterior que limita el alcance

El aviso de PHP del 23 de octubre añade CVE-2026-115560: una vía improbable al cambiar `session.serialize_handler` de `php_binary` o `php_serialize` a `php` durante la ejecución, antes de `session_start()`, con progreso de subida activo. Aconseja `session.upload_progress.enabled=0` hasta la siguiente versión ordinaria; quienes no cambian el manejador en ejecución pueden mantener la función. El aviso todavía no anuncia ese parche.

Para los dos fallos iniciales, el aviso técnico de PHP establece que actualizar es la única mitigación completa. Las medidas temporales reducen determinadas vías de exposición y no equivalen a instalar la corrección.

Qué puede comprobar la herramienta pública

El repositorio público PHP Version Checker de OpenAI ofrece comprobaciones por URL o con acceso al servidor e integración como skills de Codex. El modo URL lee cabeceras HTTP: devuelve `UNKNOWN` si falta una versión reconocible. Incluso `OK` solo describe la versión anunciada, sin verificar la instalación.

Ese modo tampoco permite identificar parches adaptados por proveedores y no envía pruebas de explotación. Su resultado sirve como indicio para el inventario; debe contrastarse con el paquete instalado y el aviso del proveedor.

Lectura de Nexo: asignar responsables hasta el despliegue

Nuestra interpretación es que el caso obliga a conectar tres responsabilidades: validar el fallo, decidir la divulgación y comprobar la instalación efectiva del parche. Un hallazgo asistido por IA no acredita por sí mismo que todos los servicios estén protegidos.

Ejemplo hipotético: una organización utiliza PHP en dos servicios con proveedores distintos. Podría asignar a cada responsable la confirmación del paquete corregido, el despliegue y la comprobación del proceso que atiende las peticiones; seguridad coordinaría el seguimiento. Este ejemplo ilustra un reparto de trabajo y no certifica ningún sistema.