OpenAI encontró el fallo de PHP. ¿También provocó el caos?

OpenAI y PHP protagonizan una pregunta incómoda: ¿cómo hemos pasado de la «ventana del defensor» a webs gubernamentales bajando la persiana?

PHP es el lenguaje que hace funcionar entre bastidores gran parte de las webs, incluida esta. Da igual que entres desde el ordenador o desde el móvil: tú ves la noticia, la tienda o el formulario; PHP se encarga de que muchas de esas cosas funcionen.

OpenAI nos habla de la «ventana del defensor». ¿No íbamos por delante de los malos? Encontrar el agujero primero ayuda. Conseguir que todo el mundo lo tape antes de que alguien entre es otra historia. Y esa segunda parte viene bastante menos automatizada.

Con lo documentado, no podemos cargarle a OpenAI la culpa de todo el lío. Calif identificó un fallo utilizando GPT-5.6 Sol; Wiz descubrió y notificó ambos independientemente, y los responsables de PHP dirigieron las correcciones. Según OpenAI, llevaban dos meses coordinando la respuesta y, hasta donde saben, llegaron antes que los atacantes. Una ventaja real, aunque «hasta donde sabemos» no significa que los delincuentes hayan entregado su informe de actividades.

La «ventana del defensor» tampoco prometía inmunidad: el documento de OpenAI sobre ciberseguridad habla de una oportunidad temporal y potencial, condicionada por personal, financiación y sistemas envejecidos. El problema empieza cuando una oportunidad se escucha como una garantía. «Podemos adelantarnos si hacemos los deberes» vende bastante menos que «tranquilos, tenemos IA».

OpenAI y PHP: descubrir el fallo no era suficiente

¿Dónde se complicó todo? Primero, en la reparación. La Fundación PHP reconoce que el trabajo se atascó durante meses entre decisiones difíciles y falta de recursos. Corregir partes centrales del motor sin romper compatibilidad ni rendimiento no era trivial. La propia fundación lo llama «fallo estructural». Mucha inteligencia de última generación sobre unos cimientos que también necesitan mantenimiento. Qué contratiempo tan poco futurista.

Después falló la coordinación. Según la cronología de PHP, circularon los identificadores de las vulnerabilidades y se adelantó la publicación. Calif difundió por error un vídeo que aportaba pistas; la fundación también acusa a Chainguard de distribuir imágenes corregidas antes de terminar el embargo. El margen para prepararse se estrechó mientras algunos distribuidores todavía empaquetaban la solución. La IA encontraba errores; los humanos añadíamos los nuestros.

Por qué cerraron las webs gubernamentales

¿Y los gobiernos? ¿No lo sabían o no podían actualizar? No existe una respuesta única documentada. CERT-EU recomendó aislar las aplicaciones expuestas cuando no fuera posible actualizar inmediatamente, hasta aplicar y verificar la corrección. Recibir un aviso no equivale a disponer del paquete adecuado, instalarlo y comprobarlo. Cerrar podía ser la decisión correcta, no una prueba de incompetencia. Incluso el centro de ciberseguridad neerlandés retiró preventivamente su propia web. Los que daban la alarma también tuvieron que bajar la persiana.

Qué pasó con la ventana del defensor

Y la preparación sí sirvió: Cloudflare afirma que desplegó protecciones antes de la divulgación oficial, también para clientes gratuitos, y detectó intentos de ataque. Pero insiste en actualizar PHP igualmente. Proteger a parte del ecosistema no significa haber protegido a todos. Internet tiene muchos administradores y ningún botón universal de «arreglar este despropósito».

La conclusión incómoda es que la IA puede acelerar el descubrimiento sin acelerar al mismo ritmo la reparación, la distribución y la instalación. PHP no demuestra que la ventaja defensiva sea ficticia. Demuestra cuánto trabajo queda para convertirla en seguridad.

La ventana del defensor existía. Para algunos, aprovecharla consistió en cerrar la web. Bienvenidos al futuro: estamos protegidos, vuelva usted mañana.