OpenAI propuso un marco de cinco etapas para coordinar respuestas a vulnerabilidades críticas en software ampliamente utilizado. El archivo oficial de PHP identifica los dos fallos tratados, CVE-2026-109618 y CVE-2026-109619, y enumera las versiones corregidas para cuatro ramas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. PHP señala que las medidas temporales pueden reducir la exposición a rutas concretas, pero que actualizar es la solución completa.
Qué riesgo planteaban los dos fallos de PHP
PHP clasifica ambos fallos como vulnerabilidades capaces de permitir ejecución remota de código sin autenticación, es decir, que un atacante ejecute código en un servidor a través de la red sin iniciar sesión.
CVE-2026-109618 afecta a la gestión de memoria cuando se agota la memoria disponible. Una solicitud puede interrumpirse mientras algunos datos internos siguen parcialmente inicializados; durante la limpieza, PHP podría tratar datos no válidos como válidos.
CVE-2026-109619 afecta al estado interno de una solicitud. Si la memoria que lo respaldaba ya se ha liberado, una solicitud posterior atendida por el mismo proceso puede utilizar ese estado obsoleto antes de que se reinicialice.
PHP identifica como potencialmente expuestas las instalaciones que atienden solicitudes web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Entre esas configuraciones, PHP señala mod_php como la de mayor riesgo.
Versiones corregidas y medidas temporales
PHP publicó las correcciones el 21 de octubre de 2026. La versión adecuada depende de la rama instalada:
| Rama de PHP | Versión corregida |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
El archivo oficial de PHP recoge los avisos de seguridad y las versiones corregidas. Para las ramas PHP 8.1 y anteriores, el proyecto PHP ya no publica correcciones directamente; PHP también enumera backports mínimos del código fuente para las ramas 7.4, 8.0 y 8.1. Quienes dependan de una distribución o un proveedor de soporte deben consultar los paquetes disponibles para su instalación. NeoTeo ya había explicado las versiones de PHP que corrigen los dos fallos; este artículo se centra en la propuesta de coordinación de OpenAI.
PHP describe medidas temporales para reducir la exposición a rutas de ataque específicas, pero advierte de que no hacen segura una instalación. Actualizar a una versión corregida es la solución completa.
Las cinco etapas que propone OpenAI
OpenAI presentó el marco como una propuesta para responder a vulnerabilidades críticas en software de uso extendido. Sus etapas son:
- Validar el fallo y probar la corrección en el proyecto original, también frente a intentos de encontrar nuevas vías de explotación.
- Dar tiempo a las organizaciones afectadas para prepararse.
- Coordinarse con socios gubernamentales para contribuir a la protección de sistemas críticos.
- Preparar actualizaciones para los productos afectados.
- Publicar recomendaciones y apoyar la aplicación de las correcciones.
OpenAI sostiene que los responsables del proyecto determinan qué organizaciones participan antes de la divulgación, teniendo en cuenta su función de protección, su capacidad para manejar información sensible y el tiempo que necesitan para actuar. También dice que los plazos pueden revisarse si hay explotación activa, se filtran detalles, un parche público revela el fallo o una demora aumenta el riesgo para los usuarios.
A quién atribuye OpenAI los hallazgos
En un anuncio fechado el 21 de octubre de 2026, OpenAI dijo que había coordinado durante los dos meses anteriores con mantenedores, investigadores, proveedores de seguridad y socios gubernamentales. Atribuyó a Calif la identificación de uno de los fallos mediante GPT-5.6 Sol, y afirmó que Wiz encontró y notificó los dos de forma independiente. Según OpenAI, los mantenedores de PHP dirigieron las correcciones y su publicación; Cloudflare también participó en tareas de investigación, apoyo técnico y coordinación.
OpenAI dijo que su trabajo con socios incluyó a CISA, la Oficina del Director Nacional de Ciberseguridad de Estados Unidos y la White House Superintelligence Force, además de socios internacionales.
La empresa también declaró un compromiso de 1.000 millones de dólares para subvencionar el acceso a Daybreak a través de Daybreak for Frontline Defenders. El programa se dirige a organizaciones que protegen servicios esenciales y cuentan con recursos de seguridad limitados.
