Dos vulnerabilidades críticas de PHP han llevado a administradores y organizaciones de varios países a revisar sus servidores y aplicar actualizaciones con urgencia. Algunas webs se han desconectado temporalmente durante la corrección o la comprobación de sus instalaciones. OpenAI ha publicado un checker para Codex que permite hacer una primera revisión de la versión.

terminal
skill-installer install both skills from https://github.com/openai/php2shell-checker
phpcheck-url check https://expasy.org/

La herramienta se utiliza en la aplicación de ChatGPT para ordenadores, seleccionando Codex en el selector superior. Para analizar una URL pública no hace falta crear un proyecto PHP ni tener acceso al servidor. Las dos skills proceden del repositorio oficial de OpenAI en GitHub, openai/php2shell-checker. Codex identifica phpcheck-url y phpcheck-server, y después solicita permiso para conectarse a Internet y escribir archivos en su carpeta de skills. La instalación añade instrucciones y un pequeño script, no PHP ni una aplicación pesada.

phpcheck-url está pensada para webs públicas. El ejemplo del artículo utiliza Expasy.org. El checker empieza con una petición HEAD. Si el servidor no permite ese método, puede recurrir a GET. La herramienta consulta cabeceras públicas como Server y X-Powered-By, sin descargar ni analizar el contenido de la página. Tampoco envía peticiones de explotación.

La prueba con Expasy.org devolvió UNKNOWN. Eso significa que la web no mostraba una versión de PHP identificable. El resultado no demuestra que sea vulnerable ni que esté protegida. VULNERABLE indica que la versión detectada está dentro del rango que el checker considera afectado. OK señala que está por encima del umbral incorporado. UNKNOWN significa que no hay información suficiente para clasificarla. Ningún estado equivale a una auditoría completa. Incluso OK depende de la versión que el servidor declara públicamente.

Cuando existe acceso al servidor, phpcheck-server comprueba primero la versión local de PHP. Después la compara con la instalación de PHP-FPM o Apache que realmente sirve la web. Esta revisión ofrece más garantías que consultar solo las cabeceras desde el exterior. OpenAI recomienda comprobar además el paquete instalado y los avisos del proveedor, porque algunas distribuciones incorporan correcciones retroportadas sin cambiar el número de versión principal. El checker sirve como orientación inicial y no demuestra que una web haya sido comprometida o esté completamente protegida.