El 23 de octubre de 2026, Forbes informó que GPT-5.6 Sol ayudó a investigadores de Patch the Planet, una iniciativa de OpenAI, a localizar vulnerabilidades críticas en PHP. El proyecto PHP había publicado PHP 8.5.12 el 21 de octubre para corregir CVE-2026-109618 y CVE-2026-109619. Forbes añadió que OpenAI y sus colaboradores dedicaron más de dos meses a validar los hallazgos y las correcciones antes de divulgarlos.
Qué papel tuvo la IA en el caso de PHP
Según Forbes, GPT-5.6 Sol ayudó a los investigadores a encontrar los fallos mediante Patch the Planet. OpenAI y sus colaboradores validaron los hallazgos y las correcciones durante más de dos meses antes de hacerlos públicos. Ese trabajo de búsqueda no elimina la tarea de comprobar los fallos y aplicar las correcciones.
Qué permiten los niveles de acceso de Daybreak
Daybreak tiene dos niveles de acceso, Blue y Red. Ambos requieren aprobación y mantienen vigentes las políticas de uso, las salvaguardas y los controles de acceso de OpenAI, pero ofrecen capacidades distintas.
| Nivel | Modelos y comportamiento | Aprobación y uso permitido |
| Daybreak Blue | Reduce las negativas en modelos generales compatibles para trabajo defensivo verificado. No da acceso a modelos especializados en ciberseguridad; Astra mantiene sus protecciones estándar. | Requiere aprobación. Se limita al trabajo defensivo en sistemas propios, operados o autorizados expresamente. |
| Daybreak Red | Puede dar acceso a modelos de ciberseguridad como GPT-5.5-Cyber y reducir las negativas en ciertos modelos compatibles. Algunos modelos requieren una aprobación adicional. | Exige aprobación separada y una verificación más estricta. Permite pruebas avanzadas únicamente en sistemas autorizados. |
OpenAI prohíbe utilizar Daybreak para clientes externos, terceros o flujos de trabajo de productos destinados a clientes. La aprobación para probar sistemas propios no se extiende a sistemas ajenos sin permiso expreso. OpenAI detalla las condiciones de acceso y uso de Daybreak.
Qué versión de PHP corrige los fallos
El aviso del proyecto PHP confirma que PHP 8.5.12 corrige CVE-2026-109618 y CVE-2026-109619. Los CVE son identificadores de vulnerabilidades; PHP señala que estos dos fallos pueden permitir ejecutar código de forma remota sin autenticación. El proyecto recomienda actualizar a PHP 8.5.12 a quienes utilizan PHP 8.5 y considera que es la única opción segura. El aviso oficial de PHP incluye los detalles de la publicación.
NeoTeo ya publicó una nota sobre los dos fallos críticos de PHP, con el contexto de las correcciones anunciadas por el proyecto.
Qué actividad observó AWS antes de la divulgación
Amazon Threat Intelligence detectó en su telemetría de MadPot un intento de explotación de PHP2Shell el 17 de octubre. La divulgación pública de los CVE se produjo el 21 de octubre a las 14:00 UTC. AWS también observó varios intentos con pruebas de concepto desde las 02:00 UTC de ese día, antes de que se publicara la corrección. Después del levantamiento del embargo, registró intentos de explotación generalizados.
AWS dijo que no pudo determinar si los intentos observados habrían tenido éxito en sistemas reales. La cronología distingue la actividad detectada antes del aviso público de un compromiso confirmado.
Por qué la revisión humana sigue contando
Forbes informó que 1.316 de 1.995 fallos identificados por Patch the Planet seguían pendientes de un parche. También atribuyó a una auditoría de Trail of Bits estos resultados: de 130 parches escritos por IA y desplegados, 16 causaron problemas funcionales y uno causó un problema de rendimiento. El reportaje señaló que la revisión de los parches aún requería un esfuerzo humano considerable.
