Sitios web de todo el mundo se desconectan por una falla crítica en PHP

Gobiernos y organismos internacionales pidieron a los sitios web atender dos fallas críticas de ciberseguridad detectadas en PHP, un lenguaje de programación que sostiene gran parte de internet. El miércoles por la tarde se publicó una solución, pero muchas organizaciones no lograron aplicarla a tiempo.

Ante esa situación, varias agencias recomendaron que quienes no pudieran instalar la corrección consideraran desconectar sus páginas. Varias entidades ya lo hicieron. El gobierno de Finlandia cerró temporalmente sus servicios web públicos, la agencia de ciberseguridad de Países Bajos retiró su propio sitio y el ayuntamiento de Edimburgo quedó fuera de línea. También dejaron de funcionar plataformas de varios programas de televisión del Reino Unido, como Doctor Who y The Traitors.

Las vulnerabilidades fueron encontradas con inteligencia artificial por investigadores de las empresas Calif y Wiz, que usaron un modelo de última generación desarrollado por OpenAI. Wiz las describió como las más graves jamás descubiertas por esta tecnología. Según estas compañías, los fallos pasaron desapercibidos por más de una década. OpenAI los calificó como uno de los problemas de seguridad con mayor impacto de los últimos tiempos.

Los riesgos son considerables. La Agencia de Seguridad Nacional de Estados Unidos advirtió que este tipo de fallas suele dar una vía directa al sistema de archivos o a la base de datos del servidor. El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea indicó que las puntuaciones de riesgo apuntan a la posibilidad de ejecución remota de código sin autenticación, lo que permitiría instalar software malicioso y sabotear sitios. La Casa Blanca informó que las agencias federales trabajan con los principales laboratorios de IA para acelerar la solución.

El alcance es amplio. PHP se usa para generar lo que el usuario ve al visitar una página, y la firma Huntress advirtió que está presente en plataformas como WordPress, Drupal, Joomla y Magento. Se estima que aproximadamente el 70% de internet está afectado, aunque esa cifra no pudo ser verificada. La Fundación Wikimedia, que administra Wikipedia, desactivó otros sistemas como medida de precaución, lo que impidió el acceso a algunas partes de la enciclopedia el miércoles.

Todavía no está claro qué versiones del lenguaje son vulnerables, aunque la CERT-EU señaló que podría afectar a todas desde PHP 5, lanzada en 2004. La Fundación PHP publicó la actualización solo para las versiones más recientes, por lo que se pide a quienes usan PHP 8.1 o anteriores que actualicen cuanto antes.

Para Don Smith, de Sophos, este fallo sería probablemente un objetivo prioritario para los piratas informáticos. El desafío, explicó, no es solo instalar el parche, sino encontrar todas las instancias donde corre PHP, incluso en productos de terceros. Por ello, las organizaciones deben vigilar señales de que un atacante ya pudo haber logrado entrar, y mantener la atención sobre las actualizaciones de sus proveedores de software.