Un fallo grave en PHP, descubierto con IA, obliga a revisar a contrarreloj millones de sitios web
Tiendas, webs de ayuntamientos e incluso medios de comunicación estarían expuestos a esta brecja de seguridad
Un investigador ha descubierto con ayuda de la inteligencia artificial una vulnerabilidad crítica en PHP, el lenguaje de programación que sustenta hasta el 70 % de los sitios web del mundo. Se ha desencadenado así una carrera urgente para corregirla antes de que los ciberdelincuentes la aprovechen.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) instó a las organizaciones a aplicar parches de inmediato o desconectar los sistemas vulnerables. Las fallas «a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor», señaló la NSA en un comunicado en X. Los atacantes podrían utilizarlas para tomar control de servidores web sin necesidad de una contraseña.
Según The Wall Street Journal, el hallazgo lo hizo en agosto Ryan Austin, investigador de la empresa de ciberseguridad Calif, con un sistema avanzado de OpenAI. El fallo llevaba años oculto: los expertos sospechaban que esa parte del software podía ser vulnerable, pero creían que explotarla era demasiado complicado. Austin demostró que, enviando repetidamente peticiones diseñadas con cuidado, un atacante puede alterar cómo el servidor gestiona la información y hacer que ejecute las órdenes que quiera.
Pánico en todo el mundo
Tras el descubrimiento se puso en marcha un esfuerzo internacional secreto en el que participaron investigadores de Google, OpenAI y empresas de seguridad. Volker Dusch, ingeniero de seguridad de la fundación que mantiene PHP, calificó el fallo como el más grave de la última década. Los expertos lo comparan con Heartbleed, el escándalo de 2014 que obligó a actuar a cientos de miles de sitios.
La actualización estaba prevista para el jueves 22 de octubre, pero los detalles de la corrección se filtraron el martes, por lo que los desarrolladores la adelantaron al miércoles.
La reacción fue inmediata, señala el diario The Times. Se informó de que las webs de la BBC y de varios ayuntamientos británicos, como Edimburgo, Oxford, Bristol, Lambeth y Barnet, quedaron fuera de servicio. También se cerraron portales gubernamentales en Países Bajos, Finlandia, Francia y Alemania. La primera ministra japonesa, Sanae Takaichi, instó a los propietarios de sitios web a actuar mientras caían servicios de videojuegos y tiendas en línea. La Fundación Wikimedia desconectó temporalmente algunos servicios de apoyo.
En Francia, indica AFP, sitios web de administraciones locales, incluida la Prefectura de Policía de París, son inaccesibles desde la tarde del miércoles a petición de la Agencia Nacional de Ciberseguridad francesa, tras la «detección de una vulnerabilidad crítica de seguridad», según informó el Ministerio del Interior.
En Países Bajos, el servicio nacional de identidad digital DigiD, el sitio web de la Cámara de Representantes y el del centro nacional de ciberseguridad se desconectaron como medida de precaución, según la cadena pública NOS.
Don Smith, de Sophos, advirtió de que el fallo será «probablemente un objetivo prioritario» para los piratas informáticos. Según explicó, el reto no es solo instalar el parche, sino localizar todas las instancias de PHP, que a menudo están ocultas bajo plataformas y productos de terceros. Recomendó además buscar señales de que algún atacante ya se haya infiltrado.
Instalar las actualizaciones corresponde a quien gestiona cada servidor; quienes usan proveedores de alojamiento dependerán de ellos. Ciaran Martin, exdirector del Centro Nacional de Ciberseguridad británico, afirmó que no hablamos de una catástrofe humanitaria, pero sí de un posible robo masivo de datos, incluidos los de tarjetas, y pidió estar alerta ante posibles estafas, ya que el fraude podría «dispararse».
El Gobierno británico fue avisado con antelación y audita todas sus webs públicas. Un portavoz aseguró que ya se trabaja para identificar y corregir cualquier exposición.
