OpenAI: el modelo GPT‑5.6 Sol encontró una brecha crítica en PHP, el lenguaje en el que funciona el 70% de los sitios web

OpenAI anunció que su modelo GPT‑5.6 Sol encontró un defecto crítico en PHP, uno de los lenguajes más extendidos del desarrollo del lado del servidor. Según la compañía, PHP funciona en aproximadamente el 70% de los sitios web del mundo. Durante los últimos dos meses, OpenAI lideró una coalición de mantenedores, investigadores y proveedores de seguridad que se ocupó de resolver los problemas críticos del lenguaje. La publicación en el blog salió hace unas horas, y medios chinos como Jiqizhixin ya califican el incidente como una de las vulnerabilidades más influyentes en la historia del proyecto.

Dos meses de silencio antes de la publicación

El anuncio llega al final de una larga preparación. Hace dos meses, la historia no empezó con una nota de prensa, sino con un canal de comunicación cerrado entre OpenAI y las personas responsables del código base de PHP. Este procedimiento se conoce como divulgación coordinada: primero se informa de la vulnerabilidad en privado a los mantenedores, después se preparan parches para las ramas con soporte, se avisa a los grandes proveedores de hosting y de seguridad, y solo entonces se informa al público.

Que OpenAI no se limitara a entregar un informe, sino que liderara la coalición, distingue este caso de los reportes de errores habituales. La compañía asumió el papel de organizadora. Normalmente esa función corresponde a los propios proyectos, a los centros CERT o a grandes proveedores como Google y Microsoft.

Por qué precisamente PHP

PHP nació a mediados de la década de 1990 y todavía sostiene una enorme parte de la web: sobre él se construyen WordPress, Drupal, Magento, Laravel e innumerables sitios corporativos. Un defecto en el propio lenguaje o en sus componentes estándar afecta no a un solo producto, sino a toda la cadena: desde el núcleo hasta los plugins, las imágenes de hosting y los contenedores que llevan años en producción sin actualizarse.

Por eso la cifra del 70% pesa aquí más que una línea en la descripción de una vulnerabilidad. Aunque la explotación requiera ciertas condiciones, el número de servidores potencialmente afectados se mide en millones. Además, PHP tiene una particularidad: muchas instalaciones funcionan con versiones obsoletas que hace tiempo que no reciben correcciones.

El modelo como cazador de bugs

Hasta ahora, los ejemplos más sonados de búsqueda de vulnerabilidades con ayuda de la IA correspondían a tareas acotadas: Google Big Sleep encontró un error en SQLite y los equipos de la competición DARPA AIxCC repararon código de forma automática. El caso de GPT‑5.6 Sol sube la apuesta: se trata de un problema crítico en un runtime básico que vigilan miles de ojos, y de un hallazgo que exigió una operación de corrección completa y con múltiples partes.

Para la industria, es una señal en dos direcciones. A los defensores, los modelos les dan la oportunidad de revisar proyectos maduros más rápido que los equipos humanos. Pero las mismas herramientas están al alcance de los atacantes, así que la ventana entre la publicación de un parche y la aparición de exploits se irá reduciendo.

Parámetros clave de la historia:

• Modelo: GPT‑5.6 Sol
• Objetivo: PHP, un lenguaje de programación abierto
• Alcance: alrededor del 70% de los sitios web del mundo
• Duración de la coordinación: aproximadamente dos meses
• Participantes: mantenedores, investigadores, proveedores de seguridad
• Organizador de la coalición: OpenAI

Qué deben hacer los equipos que tienen PHP en producción

Primero, un inventario. Hay que saber qué versiones de PHP funcionan realmente en los servidores, en los contenedores y en el proveedor de hosting, sobre todo en proyectos olvidados y en CMS antiguos. Segundo, seguir las versiones oficiales de seguridad de PHP y las listas de correo de la propia distribución o del proveedor de hosting. Cuando salgan los parches para las ramas con soporte, conviene actualizar rápido: tras la publicación de la corrección, los atacantes reciben una pista sobre dónde mirar.

Tercero, una cuestión para quienes siguen en versiones sin soporte. Para ellas puede que no salgan correcciones en absoluto, así que es mejor empezar el plan de migración a una rama vigente antes de los primeros exploits, y no después. Y por último, conviene comprobar que se dispone de monitorización de actividad inusual en los servidores web y de un WAF que permita activar rápidamente parches virtuales.

Para quienes diseñan los procesos de seguridad, hay además una conclusión estratégica: la auditoría de código abierto con IA se está convirtiendo en una herramienta de trabajo. Ya es hora de ejecutar este tipo de revisiones sobre las propias dependencias, antes de que lo haga otro.