La investigación asistida por IA descubre vulnerabilidades antiguas en PHP

Se divulgaron dos vulnerabilidades críticas en PHP después de que investigadores de OpenAI y de la empresa de seguridad Wiz encontraran fallos con ayuda de herramientas de IA. PHP Foundation publicó parches, y la Agencia de Seguridad Nacional de Estados Unidos advirtió que los sitios web que no puedan instalarlos de inmediato deberían desconectarse hasta que puedan hacerlo.

Los fallos pueden permitir que los atacantes accedan al sistema de archivos de un servidor o a una base de datos utilizada por una aplicación web. Estaban presentes en todas las versiones de PHP desde la versión 5, publicada en 2004. PHP funciona en aproximadamente el 70 % de los sitios web y, según algunas estimaciones, en más de 33 millones de sitios. WordPress también usa PHP, pero afirmó que las vulnerabilidades no son específicas de su software; los sitios afectados deben parchear sus servidores.

PHP 8.1 y las versiones anteriores ya no tienen soporte. La fuente recomienda actualizar a PHP 8.5.12. OpenAI dijo que los investigadores encontraron los fallos antes que los hackers y que no se habían registrado ataques que los explotaran.

OpenAI indicó que Calif encontró uno de los fallos con GPT-5.6 Sol como parte de la iniciativa “Patch the Planet”. Por separado, Wiz dijo que su equipo utilizó el agente de seguridad de IA Wiz Atlas, Gemini 4 Argon y GPT-5.6 Sol para encontrar varias vulnerabilidades. Las empresas colaboraron con PHP en los parches antes de divulgar los fallos. Wiz agradeció la ayuda de Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft y Vercel.

Wiz advirtió que la IA puede facilitar la explotación al ayudar a adaptar un exploit a distintas versiones de PHP, configuraciones y distribuciones de memoria. Tras la divulgación, las vulnerabilidades son públicas, mientras que muchos sitios aún podrían tener que aplicar los parches.