Cómo comprobar si una web utiliza una versión vulnerable de PHP con la herramienta de OpenAI
Las dos vulnerabilidades críticas detectadas recientemente en PHP han obligado a administradores y organizaciones a revisar sus servidores con urgencia. Algunas páginas han llegado a desconectarse temporalmente mientras aplicaban los parches o verificaban que sus instalaciones no estaban expuestas.
Para facilitar esa primera comprobación, OpenAI ha publicado un pequeño verificador que funciona a través de Codex. La herramienta permite analizar una web a partir de su dirección pública o revisar directamente la instalación de PHP cuando se tiene acceso al servidor.
Su objetivo es comparar la versión detectada con los rangos afectados por las vulnerabilidades. No realiza ataques, no intenta explotar los fallos y tampoco demuestra por sí sola que una página haya sido comprometida. Es una herramienta de orientación para decidir si hace falta investigar o actualizar.
Dos formas de analizar una instalación de PHP
El verificador está compuesto por dos skills, pequeños módulos de instrucciones y código que amplían las capacidades de Codex:
- phpcheck-url: analiza una dirección web pública e intenta identificar la versión de PHP que el servidor revela.
- phpcheck-server: revisa una instalación local cuando el usuario tiene acceso al servidor y puede consultar directamente sus componentes.
La primera opción resulta útil para una comprobación rápida de cualquier página, aunque tiene limitaciones importantes. La segunda ofrece información más fiable, ya que permite comprobar la versión instalada y confirmar cuál está utilizando realmente el sitio web.
Cómo instalar el verificador en Codex
El proceso se realiza desde la aplicación de ChatGPT para ordenadores. Una vez abierta, hay que seleccionar Codex en el selector situado en la parte superior. No es necesario crear un proyecto PHP ni preparar un entorno de programación para revisar una URL pública.
Dentro de Codex se debe ejecutar el comando de instalación proporcionado en el repositorio oficial de OpenAI. Este procedimiento incorpora las skills phpcheck-url y phpcheck-server al entorno de trabajo.
No se instala un servidor PHP ni se descarga una aplicación de gran tamaño. Codex añade las instrucciones y el pequeño script que necesita para realizar las comprobaciones. Durante el proceso puede solicitar permiso para conectarse a Internet y escribir archivos en su carpeta de skills.
Como ocurre con cualquier herramienta que puede ejecutar acciones en el equipo, conviene revisar los permisos solicitados antes de aceptarlos. Cuando termina la instalación, los dos módulos quedan disponibles para utilizarlos en los siguientes mensajes.
Comprobar una web solo con su dirección
Si únicamente se dispone de una URL, hay que utilizar phpcheck-url e indicar la dirección de la página que se quiere analizar. La herramienta no necesita descargar todo el contenido ni navegar por el sitio como lo haría un usuario.
En primer lugar, realiza una petición HEAD. Este tipo de consulta solicita al servidor información básica sobre una página, como las cabeceras de respuesta, pero sin descargar su contenido. Si el servidor no admite HEAD, el verificador puede recurrir a una petición GET, la misma que se emplea normalmente para cargar una web.
El análisis se centra en datos públicos incluidos en las cabeceras HTTP. Entre ellos pueden aparecer Server o X-Powered-By, campos que en algunas configuraciones revelan el software empleado y, en ciertos casos, la versión de PHP.
Esta información no siempre está disponible. Muchos administradores ocultan esas cabeceras por motivos de seguridad y otros servicios las modifican o eliminan mediante un proxy, una red de distribución de contenidos o un cortafuegos.
Qué significa cada resultado
El comprobador puede devolver tres estados principales:
- OK: la versión identificada no se encuentra dentro de los rangos afectados que analiza la herramienta.
- VULNERABLE: la versión expuesta coincide con una de las versiones potencialmente afectadas y requiere actualización o una revisión inmediata.
- UNKNOWN: no ha sido posible identificar la versión de PHP desde el exterior.
El estado UNKNOWN no significa que la web sea vulnerable, pero tampoco confirma que esté protegida. Solo indica que el servidor no ha proporcionado datos suficientes para determinarlo. En ese caso, el administrador necesitará acceder al sistema o consultar al proveedor del alojamiento.
Del mismo modo, un resultado OK no equivale a una auditoría de seguridad completa. La conclusión se basa en la versión que el servidor declara públicamente y no permite saber si existen otros problemas de configuración, componentes desactualizados o aplicaciones vulnerables.
Una comprobación más precisa desde el servidor
Cuando se dispone de acceso administrativo, phpcheck-server permite revisar la versión local de PHP y compararla con la instalación que atiende realmente las peticiones web.
Esta diferencia es importante porque un servidor puede tener varias versiones instaladas. Por ejemplo, la versión consultada desde la línea de comandos podría no coincidir con la que utiliza PHP-FPM o el módulo de Apache. PHP-FPM es un gestor de procesos que ejecuta el código PHP y lo conecta con servidores web como Nginx o Apache.
La skill comprueba esa correspondencia para evitar una falsa sensación de seguridad basada en una versión que no es la que está sirviendo la página. Aun así, el resultado debe contrastarse con el paquete instalado y con los avisos del proveedor o de la distribución de Linux.
Algunas distribuciones aplican correcciones de seguridad mediante backports, es decir, incorporan el parche a una versión antigua sin cambiar el número principal del paquete. Por ese motivo, una versión aparentemente antigua no siempre implica que el fallo siga presente.
Una ayuda para decidir el siguiente paso
El principal valor del verificador es simplificar una revisión que normalmente exige conocimientos sobre cabeceras HTTP, servidores web y gestión de paquetes. Codex puede indicar rápidamente si hay señales de riesgo o si no dispone de información suficiente para pronunciarse.
La comprobación no sustituye a la actualización de PHP, a la revisión de los registros ni a una auditoría de seguridad. En una web propia, un resultado vulnerable debe llevar a aplicar las correcciones recomendadas, comprobar las dependencias y revisar si ha habido actividad sospechosa. Para una página ajena, el análisis solo sirve como indicio y no permite confirmar por sí solo el estado real del servidor.
