✨︎ Resumen (TL;DR):
- Investigadores que trabajan con modelos de OpenAI mediante Daybreak encontraron 1,995 vulnerabilidades, casi 2,000, en Patch the Planet; 1,316 seguían esperando un parche.
- Forbes publicó el recuento el 23 de octubre de 2026 y señaló que casi dos tercios de los hallazgos continuaban sin corrección.
- PHP2Shell y una auditoría de más de 130 cambios muestran que un arreglo también debe probarse antes de distribuirse.
Investigadores que trabajan con modelos de OpenAI mediante Daybreak encontraron 1,995 vulnerabilidades en Patch the Planet, pero 1,316 seguían pendientes de parche en el recuento de Forbes publicado el 23 de octubre de 2026. Casi dos tercios continuaban sin corrección, una brecha que muestra por qué detectar un fallo no basta para proteger a quienes usan el software.
Daybreak es un esquema de acceso a modelos de OpenAI para trabajos de ciberseguridad autorizados. Patch the Planet es una iniciativa que OpenAI fundó con Trail of Bits para ayudar a los responsables de proyectos de código abierto a investigar problemas, probar correcciones y coordinar su publicación.
Dos niveles para investigar sistemas autorizados
Daybreak Blue reduce los rechazos de los modelos generales compatibles ante tareas defensivas verificadas, como revisar código, analizar alertas o validar un parche.
Daybreak Red añade acceso a modelos especializados en ciberseguridad y exige una aprobación independiente, verificaciones y controles más estrictos.
La documentación vigente de OpenAI mantiene las políticas de uso y otras salvaguardas en ambos niveles. El trabajo debe limitarse a sistemas propios, administrados por el participante o cubiertos por una autorización expresa. La separación adapta los controles a investigaciones legítimas y conserva las restricciones contra el abuso.
Block, la empresa de Cash App, está entre los primeros clientes de Daybreak Red, según Forbes. James Nettesheim, responsable de seguridad de Block, explicó al medio que su equipo ahora resuelve en pocas horas tareas que antes le ocupaban días o semanas.
PHP2Shell expone el tramo entre hallazgo y parche
OpenAI informó el 21 de octubre que Calif identificó, con GPT-5.6 Sol, un fallo crítico de PHP dentro de Patch the Planet. Wiz descubrió y reportó de forma independiente las dos vulnerabilidades.
PHP2Shell es el nombre de dos vulnerabilidades que, bajo determinadas condiciones, podían permitir a un atacante ejecutar código de forma remota en servidores afectados.
La PHP Foundation confirmó que las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12, publicadas el 21 de octubre, ya incluían las correcciones. Los responsables de PHP dirigieron los arreglos y su publicación con apoyo de los investigadores y de proveedores de infraestructura.
La fundación explicó que los primeros indicios de uno de los problemas se habían encontrado en 2024. Resolverlo implicaba elegir entre cambios que podían romper la compatibilidad, afectar el rendimiento o exigir adaptaciones para las extensiones. La falta de recursos y las dificultades para tomar esa decisión retrasaron el arreglo.
Cuando Calif demostró la ejecución remota de código en agosto de 2026, el equipo de seguridad financiado por la PHP Foundation convirtió la corrección en su prioridad.
El calendario también dejó poco margen. Amazon identificó en sus sistemas de señuelo MadPot un intento de explotación el 17 de octubre, cuatro días antes de la divulgación de los detalles. La empresa dijo que desconocía cómo el actor había obtenido esa información y que seguía investigando si los intentos habrían funcionado contra sistemas reales.
Los parches también necesitan pasar pruebas
Trail of Bits publicó el 21 de octubre una revisión de más de 130 cambios que sus ingenieros elaboraron con ayuda de agentes y que los proyectos incorporaron. Confirmó 21 regresiones, es decir, defectos nuevos introducidos al modificar un comportamiento que funcionaba: 16 funcionales, 1 de rendimiento y 4 de compilación o pruebas. Ninguna rompió una protección de seguridad.
En una ejecución, los agentes señalaron 58 posibles regresiones. Tras la revisión, Trail of Bits confirmó 21. La firma respondió con herramientas para estandarizar la elaboración de parches y exigir pruebas reproducibles antes de dar un problema por demostrado.
El recuento de Patch the Planet y la auditoría de Trail of Bits miden cosas distintas. El primero contabiliza hallazgos que todavía necesitan una corrección; la segunda revisa la calidad de cambios ya incorporados. Juntos muestran que acelerar la detección también exige capacidad para verificar los arreglos y distribuirlos.
El pendiente está después del hallazgo
La Electronic Frontier Foundation pide que las empresas aporten dinero y personal al mantenimiento del código abierto del que dependen. En PHP, la PHP Foundation señala que la IA ayuda a revisar y agrupar reportes, mientras el equipo humano conserva las decisiones y trabaja en cada parche.
El balance de Daybreak queda así: 1,316 hallazgos aún esperaban corrección en el recuento de Forbes, y los cambios incorporados debían pasar pruebas reproducibles antes de dar por demostrado un problema.
