GPT-5.6 Sol ayuda a detectar una falla crítica en PHP

La publicación describe dos vulnerabilidades tratadas en divulgación coordinada. Según OpenAI, Wiz también descubrió y reportó ambas de forma independiente; los mantenedores de PHP lideraron las correcciones. Lea el anuncio de OpenAI.

Crédito: OpenAI / Patch the Planet.

En este artículo verás:

• Qué se identificó en PHP
• Cómo el verificador de Codex ayuda a los operadores
• Cómo instalar y usar las dos skills
• Cómo interpretar el resultado y elegir la corrección
• Las cinco etapas de la respuesta coordinada
• Lo que el verificador no confirma por sí solo

Qué identificaron OpenAI y Wiz en PHP

OpenAI dice que el investigador Calif usó GPT-5.6 Sol para encontrar una falla crítica en PHP. La empresa también reporta dos vulnerabilidades en el proceso y atribuye a Wiz el descubrimiento y la comunicación independiente de ambas.

El artículo afirma que los mantenedores de PHP condujeron la corrección y la publicación de las actualizaciones. OpenAI dice que los problemas se reportaron antes de que hubiera ataques conocidos, pero esa evaluación proviene de la propia empresa.

Cómo el verificador de Codex ayuda a los operadores

El repositorio oficial openai/php2shell-checker en GitHub reúne el verificador de versiones y dos skills de Codex: phpcheck-url, para cuando solo tienes la dirección pública del sitio, y phpcheck-server, para un análisis con acceso al servidor.

La skill no corrige PHP ni sustituye la actualización. Ayuda a identificar versiones posiblemente afectadas y a orientar la verificación; la corrección sigue dependiendo de los mantenedores de PHP y de los operadores del servidor.

Cómo instalar y usar las dos skills

En Codex, pide al instalador de skills que instale las dos a partir del repositorio oficial:

$skill-installer install both skills from https://github.com/openai/php2shell-checker

Luego, elige la skill según el acceso disponible.

Si solo tienes la URL pública del sitio, usa phpcheck-url:

$phpcheck-url check https://seu-dominio.com

Busca la versión de PHP en los encabezados HTTP Server y X-Powered-By. Para un dominio sin ruta, usa HTTPS. Si los encabezados ocultan la versión, el resultado debe ser UNKNOWN, no una confirmación de seguridad.

Si tienes acceso al servidor, usa phpcheck-server:

$phpcheck-server check the PHP version serving my site

La skill orienta comenzar por php -v, pero verificar que esa versión corresponde a la instalación realmente usada por el sitio, como PHP-FPM o Apache. La versión de PHP de línea de comandos puede ser diferente a la que atiende las peticiones web.

También es posible ejecutar el verificador del repositorio directamente con Node.js, sin invocar la skill:

$ node phpcheck.js "https://seu-dominio.com" --json
$ node phpcheck.js --local --json

El primer comando examina los encabezados de la URL; --local verifica el PHP de línea de comandos en el entorno actual, no necesariamente el PHP-FPM o Apache del sitio. La opción --json devuelve los campos patch_status, php_version, reason y exit_code.

Cómo interpretar el resultado y elegir la corrección

El verificador puede retornar tres estados:

• VULNERABLE: la versión detectada está dentro del límite vulnerable registrado para esa rama de PHP.
• OK: la versión está por encima del límite incorporado para una rama reconocida. Esto es una comparación de versión, no una prueba independiente de que el paquete en producción recibió la corrección.
• UNKNOWN: no fue posible detectar una versión, la rama no está en la tabla o la versión no es reconocida. Trátelo como inconcluso y verifique manualmente.

Los códigos de salida 1 (VULNERABLE) y 3 (UNKNOWN) representan resultados del análisis, no necesariamente fallas en la ejecución del comando.

Para las dos vulnerabilidades de este caso, el aviso oficial del PHP identifica los CVEs CVE-2026-109618 y CVE-2026-109619. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. La versión correcta depende de la rama instalada y de la orientación del proveedor.

Las cinco etapas de la respuesta coordinada

OpenAI describe un proceso en cinco partes para reducir el riesgo de divulgación de fallas críticas:

• Validar el problema con los mantenedores y preparar la corrección.
• Dar tiempo para que las organizaciones afectadas apliquen las actualizaciones.
• Coordinar la divulgación con investigadores y socios de seguridad.
• Preparar verificaciones para localizar sistemas potencialmente vulnerables.
• Publicar orientaciones y apoyar la adopción de las correcciones.

Este tipo de gobernanza también aparece en una propuesta de Microsoft para supervisar agentes y en los controles de NVIDIA para agentes empresariales, aunque sean iniciativas diferentes.

Lo que el verificador no confirma solo

La skill phpcheck-url lee las cabeceras Server y X-Powered-By; no sigue redirecciones ni analiza el contenido de las páginas. Las cabeceras pueden ser ocultadas o alteradas, y un proveedor puede aplicar una corrección retroactiva sin cambiar la versión upstream. Por eso, un resultado OK no sustituye la verificación de la versión completa del paquete ni el aviso del mantenedor o proveedor.

La skill phpcheck-server también exige confirmar que la versión inspeccionada es la que realmente atiende el sitio. Si no puede verificar el PHP en ejecución, reporte UNKNOWN. El repositorio orienta no ejecutar sondas de exploración.

Para las vulnerabilidades descritas aquí, el aviso de PHP informa que no hay mitigación completa: la actualización a una versión corregida es la acción segura. Después de actualizar, confirme el paquete efectivamente instalado y la versión en uso en el servicio web; no use solo la respuesta de una cabecera pública como prueba final.