OpenAI publica un checker para detectar servidores PHP afectados por las vulnerabilidades críticas

Una respuesta a la urgencia por las vulnerabilidades de PHP

El anuncio llega en un momento de máxima tensión para los equipos que gestionan infraestructuras web. Las dos vulnerabilidades críticas detectadas en PHP han llevado a administradores y organizaciones de distintos países a revisar servidores y aplicar actualizaciones con urgencia. Según recoge la publicación original, algunas webs incluso han optado por desconectarse temporalmente mientras se aplican las correcciones o se comprueba que la instalación está protegida.

En ese contexto, OpenAI ha publicado un pequeño checker acompañado de dos skills para Codex. La primera, phpcheck-url, está pensada para cuando solo se dispone de la dirección de una web. La segunda, phpcheck-server, requiere acceso al servidor para verificar la instalación real. La herramienta no lanza peticiones de explotación: su función es comparar versiones, no demostrar si un sitio ha sido comprometido.

Cómo se instala y se usa desde Codex

Para utilizar la herramienta hay que abrir la aplicación de ChatGPT para ordenadores y seleccionar Codex desde el selector superior. Una vez dentro, no hace falta crear ningún proyecto PHP ni tener acceso al servidor si solo se quiere analizar una URL pública. El siguiente paso es instalar las dos skills copiando y pegando el comando:

$skill-installer install both skills from https://github.com/openai/php2shell-checker

Codex utilizará el repositorio oficial de OpenAI en GitHub como origen y añadirá phpcheck-url y phpcheck-server a su entorno. Según la prueba que describe la fuente, Codex pide permiso para conectarse a Internet y escribir los archivos necesarios en su carpeta de skills. Tras la instalación, las skills quedan disponibles para el siguiente turno.

Para comprobar una URL pública, el comando sería:

$phpcheck-url check https://ejemplo.com/

En la prueba realizada por Xataka con Expasy.org, el resultado fue UNKNOWN. La herramienta hace primero una petición HEAD y, si el servidor no lo permite, recurre a GET, pero en ningún caso analiza el contenido de la página. Lo que busca son datos públicos enviados por el servidor, como las cabeceras Server o X-Powered-By, donde algunas webs revelan qué versión de PHP utilizan.

Tres estados posibles y sus limitaciones

La herramienta puede devolver tres estados. VULNERABLE indica que la versión detectada entra dentro del rango que el checker considera afectado. OK señala que está por encima del umbral incorporado. UNKNOWN significa que no dispone de información suficiente para clasificarla.

Ninguno de los tres equivale por sí solo a una auditoría completa. Incluso un OK parte de la versión que el servidor declara públicamente. Si la web es propia y se tiene acceso al servidor, se puede utilizar phpcheck-server, que empieza comprobando la versión local de PHP y después verifica que coincida con la instalación PHP-FPM o Apache que está sirviendo realmente la web. Esa revisión es bastante más sólida que fiarse únicamente de lo que una página expone desde fuera.

Aun así, OpenAI recomienda comprobar también el paquete instalado y los avisos del proveedor, porque algunas distribuciones aplican correcciones retroportadas sin modificar la versión principal.

Utilidad práctica para administradores y curiosos

El valor de esta herramienta está en simplificar una comprobación que, de otro modo, exigiría más conocimientos técnicos. Codex puede indicar rápidamente si la versión de PHP que una web expone entra o no en los rangos afectados y, cuando no dispone de datos suficientes, evita sacar una conclusión que no puede sostener.

ES, sobre todo, un punto de partida: sirve para orientarse y saber si es necesario investigar más o actuar sobre una instalación propia. No sustituye a una auditoría de seguridad completa, pero en un escenario donde cada hora cuenta, tener una forma rápida de descartar o confirmar sospechas es un alivio para los equipos técnicos.