La IA halla fallos graves en PHP y obliga a desconectar webs en varios países
El lenguaje alimenta cerca del 70% de los sitios del mundo, y gobiernos y empresas cortan servicios mientras llega la corrección.
La inteligencia artificial detectó fallos de seguridad en PHP, un lenguaje de programación que sostiene alrededor del 70% de las páginas web del mundo. El hallazgo ha llevado a gobiernos y empresas de distintos países a suspender servicios de forma preventiva para protegerse.
PHP fue creado a principios de la década de 1990 y se usa para generar sitios dinámicos. A diferencia de una web estática, que muestra la misma página a todos, un sitio PHP consulta bases de datos, verifica si el usuario ha iniciado sesión, muestra información personalizada y actualiza contenido en tiempo real.
La empresa de ciberseguridad Wiz Research describe a PHP como la columna vertebral de la web. Según la firma, lleva más de diez años usando IA para buscar vulnerabilidades ocultas en este lenguaje. El lenguaje sirve de base a plataformas populares para crear sitios, como WordPress, Drupal y PrestaShop.
Los fallos podrían permitir a piratas informáticos acceder a una gran cantidad de estas páginas, desde tiendas en línea hasta servicios públicos. Por esa razón, muchos administradores optaron por desconectar sus sitios mientras se aplican las correcciones.
Wiz y otros grupos usaron modelos de IA de última generación, como los de OpenAI y Google, para localizar estos puntos débiles en agosto. El hallazgo se mantuvo en reserva hasta que existiera una solución. Por su parte, la firma Calif encontró fallos similares durante una auditoría del código de PHP financiada por OpenAI.
Según la Agencia de Seguridad Nacional de Estados Unidos, los fallos a menudo ofrecen acceso directo al sistema de archivos o a la base de datos del servidor. En teoría, un atacante podría tomar control de esos servidores sin necesidad de una contraseña. Hasta ahora, los investigadores no han detectado ataques activos.
Las grandes instituciones podrían corregir sus sitios con relativa rapidez, pero otros quedarían expuestos por más tiempo. Los expertos advierten que blogs y páginas de particulares podrían tardar días, semanas o meses en enterarse, y que podrían usarse para difundir virus, spam o contenido malicioso. Además, algunas interfaces de terceros que usan PHP podrían seguir vulnerables aunque el problema original ya esté resuelto.
