Dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más utilizados para desarrollar sitios web, desataron una alerta internacional y llevaron a gobiernos, organismos públicos y medios de comunicación a desconectar temporalmente algunos de sus servicios en internet. Las fallas fueron identificadas con ayuda de inteligencia artificial (IA) y los desarrolladores publicaron las actualizaciones de seguridad este miércoles 21 de octubre.
La gravedad del problema llevó a distintas agencias de ciberseguridad a recomendar que las organizaciones que no pudieran instalar las correcciones de inmediato evaluaran desconectar los sistemas vulnerables hasta poder protegerlos. Entre los afectados por interrupciones preventivas estuvieron servicios públicos del gobierno de Finlandia, páginas del ayuntamiento de Edimburgo y sitios vinculados a programas de la cadena británica BBC.
El episodio puso en primer plano dos desafíos para la seguridad digital: la dependencia de buena parte de internet de tecnologías compartidas y la capacidad de la inteligencia artificial para identificar fallas que habían permanecido ocultas durante años.
Qué riesgo representan las vulnerabilidades de PHP
El PHP (sigla en inglés para Preprocesador de Hipertexto) es un lenguaje de programación de código abierto que funciona principalmente en los servidores. Se utiliza para generar contenidos dinámicos, procesar solicitudes y conectar sitios web con bases de datos y otras aplicaciones. También forma parte de la infraestructura de plataformas muy extendidas, entre ellas WordPress.
De acuerdo con la cobertura de Reuters, PHP se utiliza en cerca del 70% de los sitios web cuya tecnología de programación puede identificarse. Esa proporción permite dimensionar el alcance potencial de una vulnerabilidad en el lenguaje, aunque no significa que el 70% de todos los sitios de internet haya sido efectivamente atacado o comprometido.
Según las advertencias de seguridad difundidas, las fallas podrían permitir la ejecución remota de código y abrir una vía para acceder a archivos o bases de datos de los servidores afectados. El impacto concreto depende de las condiciones de cada sistema y de las medidas de protección que tenga implementadas.
Qué países y organismos desconectaron sus páginas
La respuesta preventiva se extendió a diferentes países y sectores. En Finlandia, varios servicios web públicos quedaron temporalmente fuera de servicio mientras se abordaba el problema. En los Países Bajos, el organismo nacional de ciberseguridad anunció que desconectaría su propia página, y también se reportaron interrupciones en otros sitios institucionales.
En el Reino Unido, algunas páginas del ayuntamiento de Edimburgo y de programas de la BBC dejaron de estar disponibles. La Fundación Wikimedia, responsable de Wikipedia, informó que estaba trabajando para resolver las vulnerabilidades y que había desactivado otros sistemas por precaución hasta poder actualizarlos de forma segura.
Las medidas no implican necesariamente que esos sitios hayan sufrido una intrusión. En estos casos, la desconexión temporal se presentó como una forma de reducir la exposición mientras se instalaban las correcciones y se verificaba la seguridad de los sistemas.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) también difundió recomendaciones para que las organizaciones que no pudieran aplicar los parches desconectaran los sistemas afectados. En paralelo, autoridades de ciberseguridad del Reino Unido, la Unión Europea y Australia instaron a los responsables técnicos a identificar los equipos que utilizan PHP y actualizar sus versiones.
Cómo la inteligencia artificial ayudó a encontrar las fallas
El hallazgo estuvo vinculado al trabajo de investigadores de las empresas de ciberseguridad Calif y Wiz, en coordinación con la Fundación PHP y otros participantes del programa Patch the Planet, impulsado por OpenAI.
Según informó OpenAI, Calif identificó una de las vulnerabilidades con ayuda de sus modelos avanzados de inteligencia artificial. Wiz informó que encontró las fallas de manera independiente. Los equipos de investigación colaboraron posteriormente con los responsables de PHP y otras organizaciones para preparar las correcciones antes de divulgar los detalles técnicos.
La compañía describió el episodio como uno de los problemas de seguridad más importantes detectados recientemente. Wiz, por su parte, destacó la capacidad de los modelos de IA para desarrollar y adaptar pruebas de explotación en distintas aplicaciones en cuestión de horas.
Los investigadores señalaron que las vulnerabilidades habían permanecido sin detectar durante un período prolongado. La intervención de herramientas de inteligencia artificial permitió analizar el código y avanzar en la identificación de fallas complejas, un proceso que puede demandar mucho tiempo cuando se realiza exclusivamente mediante técnicas tradicionales.
Sin embargo, el mismo avance tecnológico que facilita la detección también plantea riesgos: una vez que los detalles de una vulnerabilidad se hacen públicos, los atacantes pueden intentar aprovecharlos para desarrollar métodos de intrusión. Por eso, la coordinación entre investigadores, desarrolladores, proveedores de infraestructura y organismos estatales resulta central para reducir la ventana de exposición.
Las actualizaciones, una prioridad para los administradores
La publicación de los parches abrió una nueva etapa de la respuesta internacional: conseguir que los responsables de los sistemas afectados instalen las versiones corregidas y comprueben que sus servicios estén protegidos.
Las recomendaciones de los organismos especializados incluyen identificar todas las instalaciones de PHP, priorizar los sistemas accesibles desde internet, aplicar las actualizaciones correspondientes y revisar la actividad de los servidores para detectar posibles comportamientos maliciosos.
Cuando una organización no puede corregir de inmediato un sistema vulnerable, las autoridades recomiendan evaluar medidas de mitigación y, si no es posible reducir el riesgo de manera suficiente, suspender temporalmente el servicio expuesto.
La situación también pone de relieve una dificultad para las organizaciones pequeñas, los medios locales y las entidades con recursos técnicos limitados: pueden utilizar servicios que dependen de PHP sin administrar directamente todos los componentes de sus servidores. En esos casos, la aplicación de las correcciones puede requerir la intervención de proveedores de alojamiento, empresas de mantenimiento o responsables de las plataformas utilizadas.
