Las dos vulnerabilidades críticas detectadas en PHP han puesto en jaque a una gran parte de internet, llevando a administradores de sistemas y organizaciones a una carrera contrarreloj para revisar sus servidores y aplicar las actualizaciones necesarias. Algunos incluso han optado por desconectar sus sitios temporalmente mientras se aseguraban de que todo estaba en orden. En este contexto, surge una pregunta clave para cualquiera que gestione una web, o simplemente para ti que quieres saber qué hay detrás de un sitio: ¿cómo puedes saber si una web está exponiendo una versión de PHP vulnerable?

Para responder a esta necesidad, OpenAI ha lanzado una herramienta específica que facilita esta primera comprobación.

¿Qué ofrece la herramienta de OpenAI?

Estamos hablando de un pequeño verificador que viene acompañado de dos 'skills' (habilidades) para Codex, la aplicación de ChatGPT para desarrolladores:

  • phpcheck-url: Ideal si solo tienes la dirección de una web. Intenta identificar la versión de PHP que el servidor expone públicamente.
  • phpcheck-server: Diseñado para cuando tienes acceso directo al servidor. Puede comprobar la instalación y verificar la versión real de PHP que está sirviendo la web.

Es importante destacar que esta herramienta no lanza peticiones de explotación ni intenta comprometer el sitio. Su única función es comparar versiones y no demostrar si un sitio ya ha sido atacado.

Cómo usar el checker de PHP de OpenAI

Para empezar a usarla, sigue estos pasos:

  1. Abre la aplicación de ChatGPT para ordenadores: Asegúrate de seleccionar Codex desde el selector en la parte superior de la aplicación.
  2. Instala las skills: Una vez en Codex, no necesitas crear ningún proyecto PHP ni tener acceso a un servidor si solo vas a analizar una URL pública. Simplemente copia y pega el siguiente comando:
    $skill-installer install both skills from https://github.com/openai/php2shell-checker
    Codex utilizará el repositorio oficial de OpenAI en GitHub para añadir phpcheck-url y phpcheck-server a tu entorno. Esto no instala PHP, solo incorpora las instrucciones y un pequeño script para las comprobaciones.
  3. Autoriza la instalación: Después de enviar el comando, Codex identificará las skills y te pedirá permiso para completar la instalación. Revisa las acciones que propone (como conectarse a internet y escribir archivos) y acepta si estás de acuerdo. Una vez finalizado, las skills estarán listas para usar.
  4. Realiza la comprobación:
    • Para una URL pública: Usa phpcheck-url. Por ejemplo, si quieres comprobar Expasy.org, el comando sería:
      $phpcheck-url check https://expasy.org/
      La herramienta realizará una petición HEAD (o GET si la primera no está permitida) para buscar datos públicos como las cabeceras Server o X-Powered-By, donde algunas webs revelan su versión de PHP.
      En algunos casos, el resultado puede ser UNKNOWN. Esto significa que la web no expone públicamente una versión de PHP que la herramienta pueda identificar. No implica que sea vulnerable o segura, solo que la información no está disponible externamente.
    • Para tu propio servidor (con acceso): Utiliza phpcheck-server. Esta skill comprueba la versión local de PHP y puede verificar que coincida con la instalación de PHP-FPM o Apache que sirve la web. Esta revisión es mucho más robusta.

Interpretando los resultados

La herramienta puede devolver tres estados:

  • VULNERABLE: Indica que la versión detectada está dentro del rango que el checker considera afectado.
  • OK: Señala que la versión está por encima del umbral de vulnerabilidad conocido.
  • UNKNOWN: Significa que no se dispone de información suficiente para clasificarla.
Es crucial entender que ninguno de estos estados equivale a una auditoría de seguridad completa. Un resultado 'OK' se basa en la versión que el servidor declara públicamente, que no siempre es el reflejo exacto de la instalación real. OpenAI recomienda que, si gestionas tu propia web, revises también el paquete instalado y los avisos de tu proveedor, ya que algunas distribuciones aplican parches sin cambiar la versión principal.

El verdadero valor de esta herramienta radica en la simplificación. Te permite realizar una comprobación inicial rápida sin necesidad de conocimientos técnicos avanzados, orientándote sobre si necesitas investigar más a fondo o tomar medidas sobre tu propia instalación. Es un primer paso útil para mantener tus sistemas seguros en un mundo digital cada vez más expuesto.