El php2shell-checker de OpenAI: cómo ejecutarlo e interpretar los resultados

¿Qué es el php2shell-checker de OpenAI?

php2shell-checker es una herramienta de código abierto que OpenAI publicó el 21 de octubre de 2026, con licencia Apache 2.0, coincidiendo con la divulgación coordinada de PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Es un único script corto de Node.js con dos modos:

• Modo URL: envía una petición HEAD a una web y busca una versión de PHP en las cabeceras X-Powered-By y Server. Solo recurre a GET si se rechaza el HEAD, no sigue redirecciones y no lee la página.
• Modo local: ejecuta php -v en la máquina y lee la versión.

Después compara la versión con una tabla integrada de la última versión vulnerable de cada rama, de la 5.4 a la 8.5. No envía tráfico de ataque: las propias instrucciones de OpenAI piden expresamente no ejecutar sondas de explotación.

¿Cómo ejecuto el comprobador de OpenAI?

Necesitas Node.js y una copia del repositorio de GitHub. Desde la carpeta del repositorio:

• En tu servidor, para comprobar el PHP de línea de comandos: node phpcheck.js --local
• Contra tu propia web: node phpcheck.js "https://your-site.example"
• Para obtener una salida legible por máquina, añade --json.

Usa el modo URL solo con webs que sean tuyas o que gestiones. El PHP de línea de comandos que comprueba --local puede ser distinto del que sirve tu web, así que revisa también lo que indica la propia web, por ejemplo en WordPress en Herramientas → Salud del sitio → Información → Servidor.

¿Qué significan OK, VULNERABLE y UNKNOWN?

UNKNOWN no significa que tu web esté a salvo. La mayoría de los servidores bien configurados ocultan la versión de PHP en sus cabeceras, así que el modo URL devuelve UNKNOWN con frecuencia.

¿En qué puede equivocarse el comprobador de OpenAI?

Solo compara números de versión, y OpenAI lo advierte: un OK no verifica de forma independiente que se haya aplicado una corrección de seguridad. En la práctica importan tres casos:

• Backports de las distribuciones: Ubuntu, Debian, Red Hat y otras corrigen paquetes de PHP con números más antiguos. Un 8.3.6-0ubuntu0.24.04.13 parcheado sigue saliendo como VULNERABLE. Consulta actualizar PHP en Ubuntu y Debian.
• Números de compilación de paneles y proveedores: en las ramas antiguas, cualquier número por encima del corte sale como OK, incluso números que PHP nunca publicó. 宝塔 (BaoTa) y aaPanel distribuyen compilaciones parcheadas como 7.4.34 y 8.1.35, pero 8.0.27 es a la vez una compilación de 宝塔 y una versión antigua sin parchear.
• Cabeceras: un proxy o una CDN pueden ocultar o reescribir X-Powered-By, y un mismo servidor puede alojar muchas webs con versiones de PHP distintas.

¿Cómo lo combino con el comprobador PHP2Shell?

Pega la salida de la herramienta directamente en el campo de versión del comprobador PHP2Shell. Acepta la salida de --json, una línea como OK: PHP 8.3.36, la salida de php -v o una cabecera X-Powered-By: PHP/8.3.36, y extrae la versión. Después indica de dónde viene tu PHP en «Instalado desde», por ejemplo un paquete del sistema, 宝塔 / aaPanel u otro panel de control. Así el comprobador tiene en cuenta los backports y las compilaciones de los paneles que una simple comparación de versiones pasa por alto. La comprobación de la versión se hace en tu navegador y lo que pegas no se envía a ningún sitio.

Las versiones corregidas son:

Si el resultado indica que estás afectado, sigue la guía del parche de PHP2Shell para tu caso. Después de actualizar, busca señales de una intrusión anterior con la lista de comprobación de intrusiones.