IA en un minutoNoticiasSeguridad
OpenAI publica una herramienta para comprobar si una web usa una versión de PHP afectada por dos vulnerabilidades críticas
Redacción de IA en un minuto · Editor: Jon Elgezabal
En 30 segundos
OpenAI ha puesto a disposición de cualquiera dos skills de Codex que indican si una web corre sobre un PHP con los dos fallos críticos que acaban de corregir sus responsables. El comprobador funciona con la dirección de la web o con acceso a la máquina, y no ataca: solo compara versiones. Las respuestas tienen límites, porque un OK no garantiza el arreglo y un UNKNOWN no asegura que la web esté a salvo.
OpenAI publicó el miércoles 21 de octubre un comprobador para saber si una web funciona con una versión de PHP afectada por dos vulnerabilidades críticas, a las que su repositorio en GitHub llama php2shell.
PHP es un lenguaje de programación de código abierto en el que se apoyan muchas webs y aplicaciones web. OpenAI cuenta que durante los dos últimos meses ha encabezado la respuesta a estos fallos junto a los responsables de PHP, investigadores y empresas de seguridad. Uno de ellos lo encontró Calif con GPT-5.6 Sol, un modelo de OpenAI, dentro de la iniciativa Patch the Planet, y Wiz detectó y notificó los dos por separado. Las correcciones las han preparado y publicado los propios responsables de PHP, con ayuda de Wiz, Cloudflare y otras empresas. OpenAI sitúa el caso entre los problemas de seguridad de mayor impacto de los últimos tiempos y dice que, hasta donde sabe, la IA dio con los fallos antes que los atacantes.
El comprobador se compone de dos skills para Codex, el agente de programación de OpenAI: unas instrucciones y un pequeño script que el agente puede volver a usar. Según Xataka, que lo ha probado, Codex se elige dentro de la aplicación de ChatGPT para ordenador, y al instalar las skills pide permiso para conectarse a internet y guardar archivos. La primera, phpcheck-url, sirve cuando solo se tiene la dirección de la web: mira las cabeceras Server y X-Powered-By que devuelve el servidor, donde algunas webs indican su versión de PHP, sin seguir redirecciones ni leer el contenido de la página. La segunda, phpcheck-server, sirve cuando se tiene acceso a la máquina: parte de la versión instalada y pide confirmar que coincide con la que de verdad sirve la web. Ninguna de las dos intenta aprovechar el fallo; se limitan a comparar la versión con los tramos afectados, que van de PHP 5.4 a 8.5, y responden VULNERABLE, OK o UNKNOWN. El script también se puede ejecutar fuera de Codex con Node.js, y el código es abierto, con licencia Apache 2.0.
OpenAI advierte de que un OK solo significa que la versión es posterior a las afectadas, no que se haya comprobado la corrección, y de que UNKNOWN, el resultado cuando la web no deja ver su versión, no quiere decir que esté protegida. Las cabeceras se pueden ocultar o cambiar, y algunas distribuciones aplican el arreglo sin tocar el número de versión, así que, con acceso al servidor, recomienda contrastar también el paquete instalado con los avisos de seguridad de PHP o del proveedor. En la prueba de Xataka con una web pública, el resultado fue UNKNOWN.
Además, OpenAI ha implicado a varias partes del Gobierno de Estados Unidos, entre ellas CISA, para que las recomendaciones lleguen a las organizaciones críticas, y la web de Patch the Planet remite a las instrucciones oficiales de actualización de los responsables de PHP. La empresa espera que los hallazgos parecidos aumenten con fuerza en los próximos meses.
Por qué importa · análisis y opinión
Que una IA encuentre fallos graves en un lenguaje tan extendido cambia el problema de sitio: lo difícil ya no es tanto descubrirlos como conseguir que los arreglos lleguen a tiempo a servidores que nadie revisa a menudo. OpenAI prevé más hallazgos de este tipo, y acompañar el aviso con una herramienta que cualquiera puede usar sin ser experto es una forma de repartir esa carga. Su mérito está en contestar rápido a la primera pregunta, si una web está expuesta, aunque solo vea lo que el servidor deja ver. La actualización sigue dependiendo de quien mantiene cada instalación, y ahí parten con ventaja las organizaciones con un equipo técnico propio frente a las que lo delegan todo en un proveedor. Si los avisos de este calibre se vuelven frecuentes, saber quién se encarga de parchear cada web dejará de ser un detalle.
Fuente oficial: OpenAI · Redactada con ayuda de IA: cómo hacemos las noticias
¿Qué significa para tu negocio? · análisis y opinión
Esta herramienta interesa a cualquier pyme, autónomo o empresa pequeña de España o Latinoamérica cuya web funcione con PHP, tanto si la mantiene por su cuenta como si depende de un proveedor de alojamiento o de una agencia. A quien no tenga web propia, o la tenga sobre una tecnología que no use PHP, no le afecta.
En la práctica, phpcheck-url sirve como primera orientación cuando solo se conoce la dirección de la web, pero conviene leer bien el resultado: UNKNOWN indica que la página no muestra su versión de PHP, no que esté a salvo, y un OK se apoya en lo que el servidor declara hacia fuera. Si hay acceso al servidor, phpcheck-server da una comprobación más sólida. Nuestro consejo es pedir además por escrito al proveedor o a quien gestione la web que confirme qué paquete de PHP está instalado y si ha aplicado sus avisos de seguridad, porque algunas distribuciones corrigen el fallo sin cambiar el número de versión principal.
El riesgo principal es quedarse con una falsa tranquilidad por un resultado que solo compara versiones. También conviene fijarse en los permisos: al instalar las skills, Codex pide conectarse a Internet y escribir archivos en su carpeta, así que lo prudente es revisar cada acción antes de aceptarla y usar la herramienta solo con webs propias o con permiso de su dueño.
