Los modelos de IA de OpenAI y Google encontraron una vulnerabilidad crítica en PHP que podría afectar a millones de sitios web en todo el mundo, informó The Decoder el 21 de octubre de 2026.
GPT-5.6 Sol dio con la falla dentro de la iniciativa Patch-the-Planet. OpenAI la describe como uno de los "problemas de seguridad de mayor impacto en la memoria reciente". El modelo detectó las vulnerabilidades antes que los atacantes, y eso les dio a los desarrolladores y a los proveedores de seguridad un margen para reaccionar. Ya hay una herramienta en GitHub con la que los administradores de servidores pueden revisar si su versión de PHP está afectada.
Wiz llegó a lo mismo por otro camino
La empresa de seguridad Wiz encontró las mismas fallas de forma independiente. Usó su propia plataforma, Wiz Atlas, junto con Gemini 4 Argon de Google y GPT-5.6 Sol.
Según Wiz, Gemini 4 Argon resultó especialmente útil en cuatro tareas. Encontrar la vulnerabilidad, desarrollar los exploits, construir la detección de ataques y validar el parche.
¿Por qué la IA facilita los ataques?
Antes, un exploit que funcionaba contra una instalación concreta de PHP exigía bastante trabajo para adaptarlo a otras versiones y configuraciones, explica Wiz. Los modelos de lenguaje grandes eliminan esa barrera, porque pueden ajustar los exploits de forma automática a distintas versiones de PHP, configuraciones y distribuciones de memoria.
"Esto reduce de manera significativa la barrera para escalar ataques a distintos despliegues", escribe la empresa, y agrega que "vulnerabilidades que antes parecían imprácticas de explotar se convierten en objetivos viables".
¿Cómo se coordinó el arreglo?
La corrección se coordinó durante dos meses y en cinco fases. Participaron los desarrolladores de PHP, Wiz, Cloudflare y agencias de Estados Unidos, entre ellas la CISA y la Casa Blanca. OpenAI propone este proceso como un marco repetible para los próximos hallazgos de seguridad hechos con IA.
La compañía espera que los hallazgos de la escala de la falla PHP2Shell "aumenten de forma marcada en los próximos meses". También advierte que las mismas capacidades de IA que encuentran vulnerabilidades pueden ayudar a los atacantes. El descubrimiento se suma a un debate que ya lleva meses sobre las capacidades ofensivas y defensivas de los modelos de IA en ciberseguridad.
