PHP, la falla oculta por años que la IA destapó y alarmó al mundo

Durante más de diez años, fallos graves en una tecnología que sostiene buena parte de internet pasaron inadvertidos. La inteligencia artificial fue la que los sacó a la luz, y su hallazgo, hecho público el miércoles, disparó una alerta mundial de ciberseguridad. Gobiernos y agencias del mundo entero pidieron a los dueños de páginas web instalar una solución de emergencia o, si no pueden hacerlo pronto, desconectar sus plataformas.

Las fallas están en PHP, un lenguaje de programación que se usa desde comienzos de los 2000 para crear sitios web. Su nombre viene de Hypertext Preprocessor. Aunque poca gente lo conoce, muchas personas lo usan a diario sin saberlo, porque sirve de base a tiendas en línea, a sitios tan populares como Wikipedia y a WordPress, el gestor de contenidos que respalda numerosos blogs y páginas. Es el código que reúne la información que un usuario busca y la presenta en pantalla de forma legible.

Una de las vulnerabilidades permitía a atacantes tomar el control de servidores afectados sin necesidad de autenticación y robar datos confidenciales. Por eso, todo lo que funcionaba sobre PHP quedó expuesto. Investigadores de las firmas de seguridad Wiz y Calif encontraron los puntos débiles. Wiz calificó los fallos como los más graves jamás detectados por IA, mientras que OpenAI, cuya tecnología se usó en la búsqueda, los describió como uno de los problemas de seguridad más importantes de los últimos tiempos.

Las consecuencias ya se sienten en distintos servicios. Wikimedia, la organización detrás de Wikipedia, desactivó varios de sus sistemas como medida preventiva. El gobierno finlandés, el ayuntamiento de Edimburgo y la agencia de ciberseguridad de los Países Bajos retiraron sus sitios o páginas de internet. En Escocia, varias organizaciones públicas, entre ellas juntas de salud, también desactivaron sus portales. Amazon afirmó que recibió múltiples ataques días antes de que se conociera la falla, aunque se desconoce cómo los atacantes supieron de la debilidad.

Los desarrolladores de PHP lanzaron actualizaciones el miércoles y recomendaron a todos los usuarios instalarlas de inmediato. La Agencia de Seguridad Nacional de Estados Unidos pidió a las organizaciones que desconecten sus sistemas si no pueden aplicar los parches, y advirtió que la falla podría ser una vía directa para explotar la base de datos. La primera ministra japonesa, Sanae Takaichi, pidió a su población revisar si sus sitios funcionan con PHP y sugirió que suspender temporalmente las páginas puede ser una forma eficaz de reducir el riesgo. Reino Unido, la Unión Europea, Singapur y Australia emitieron alertas similares.

Expertos advierten que los sitios con poco mantenimiento son los más vulnerables, sobre todo los de organizaciones pequeñas con recursos limitados de seguridad. También prevén más intentos de explotación en las próximas semanas, porque los detalles técnicos ya se hicieron públicos. Por eso recomiendan a los usuarios estar atentos a campañas de phishing que aprovechen la atención generada por el caso y a cualquier aviso de servicios afectados, como solicitudes para cambiar contraseñas. OpenAI anunció que lanzó un programa para revisar la seguridad de PHP.