OpenAI ha publicado en GitHub php2shell-checker, una herramienta gratuita con licencia Apache-2.0 diseñada para comprobar si un sitio o servidor está expuesto al exploit conocido como php2shell, los fallos identificados como CVE-2026-109618 y CVE-2026-109619.
Qué hace y cómo funciona
El verificador determina su veredicto a partir de la versión de PHP que el servidor deja visible en las cabeceras HTTP o la que devuelve php -v en local. La comparación se realiza con una tabla de umbrales por rama (de la 5.4 a la 8.5) y el resultado puede ser OK, VULNERABLE o UNKNOWN.
- Repositorio publicado el 21 de octubre; en él figura un script principal en Node.js llamado phpcheck.js.
- El script no tiene dependencias externas y puede ejecutarse desde la terminal con Node.js.
- La herramienta ofrece dos modos: comprobación por URL y comprobación local del PHP de línea de comandos.
El proyecto también incluye dos skills para Codex, el asistente de programación de OpenAI: phpcheck-url para analizar una dirección pública y phpcheck-server para quien tenga acceso al servidor. OpenAI anunció la disponibilidad invitando a cargar esas skills desde el repositorio.
Uso práctico
Según la documentación incluida en el repositorio, los comandos básicos son:
- node phpcheck.js "https://example.com" — comprueba la cabecera HTTP de un sitio.
- node phpcheck.js --local — consulta la versión de PHP en la máquina local mediante php -v.
- node phpcheck.js "https://example.com" --json — salida en formato JSON, legible por otros scripts.
El desarrollador del repositorio subraya que conviene ejecutar la comprobación solo sobre sitios propios o sobre aquellos para los que se tenga autorización expresa, y destaca que el veredicto depende de un único dato: la versión de PHP expuesta.
Adopción y visibilidad
El repositorio se creó el 21 de octubre y, en el plazo de un día, ya acumuló respaldo en la comunidad: el 22 de octubre contaba con 556 estrellas y 44 forks. La herramienta es gratuita y no requiere registro.
Para administradores que no puedan actualizar PHP inmediatamente, la fuente remite además a análisis y recomendaciones sobre mitigaciones y pasos a seguir en entornos legacy.
