Dos fallas críticas en PHP obligan a desconectar sitios web mientras se despliegan parches de seguridad
La agencia de ciberseguridad de la Unión Europea recomendó desconectar temporalmente los sitios que no puedan corregir de inmediato dos vulnerabilidades críticas en PHP, un lenguaje que sostiene buena parte de la infraestructura web. Los fallos, descubiertos con ayuda de inteligencia artificial, elevan el riesgo de ejecución remota de código y ya provocaron interrupciones preventivas en portales gubernamentales y otros servicios.
La seguridad de buena parte de Internet depende de una actualización que no puede esperar. Dos vulnerabilidades críticas en PHP, uno de los lenguajes de programación más extendidos en la web, llevaron a organismos de ciberseguridad a recomendar una medida drástica: desconectar temporalmente los sitios expuestos que no puedan instalar los parches a tiempo.
La advertencia de CERT-EU, el equipo de respuesta a incidentes informáticos de las instituciones de la Unión Europea, se produjo en medio de una carrera para contener posibles ataques. Ayer, desarrolladores de PHP publicaron actualizaciones de emergencia y exhortaron a los usuarios a instalarlas de inmediato. Mientras tanto, organismos públicos y operadores de infraestructura digital optaron por retirar algunos servicios de Internet como medida preventiva.
El riesgo no es menor. Las dos vulnerabilidades recibieron una puntuación de 9,2 sobre 10 en la escala CVSS v4.0, utilizada para evaluar la gravedad de los fallos de seguridad. Según las advertencias de las agencias especializadas, podrían permitir la ejecución remota de código sin autenticación. En términos prácticos, un atacante podría ejecutar instrucciones en un servidor vulnerable sin necesidad de contar con credenciales legítimas, con consecuencias potenciales que van desde el robo de información hasta el control del sistema comprometido.
La alerta se extendió más allá de las instituciones europeas. La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó desconectar los sistemas afectados que no pudieran actualizarse de inmediato. Australia, Japón y el Reino Unido también emitieron advertencias para que las organizaciones identificaran sus instalaciones de PHP y prepararan la aplicación de los parches.
Una vulnerabilidad que alcanza a buena parte de Internet
La dimensión del problema se explica por la ubicuidad de PHP. El lenguaje se utiliza en sitios corporativos, plataformas de comercio electrónico, sistemas de gestión de contenidos y servicios públicos. Está presente en tecnologías como WordPress, Drupal, Joomla y Magento, además de numerosos entornos de alojamiento web y aplicaciones cuya infraestructura no siempre resulta evidente para sus operadores.
Según el rastreador tecnológico W3Techs, PHP está detrás de aproximadamente el 75% de los sitios web cuyo lenguaje de programación del lado del servidor puede identificarse. A su vez, WordPress, que depende de PHP, impulsa cerca del 43% de todos los sitios web. La exposición potencial, por tanto, no se limita a grandes organismos públicos o empresas tecnológicas: también alcanza a pequeñas compañías, medios de comunicación y negocios que administran sus páginas mediante proveedores externos de alojamiento.
La respuesta de los operadores muestra una dificultad recurrente en ciberseguridad: la urgencia de corregir una vulnerabilidad puede superar la capacidad de una organización para identificar dónde está presente el software afectado y quién tiene la responsabilidad de actualizarlo.
Wordfence, proveedor de un complemento de seguridad para WordPress, advirtió que las actualizaciones automáticas de esa plataforma no aplicarían por sí solas la corrección de PHP. Los administradores deben verificar qué versión del lenguaje ejecutan sus servidores y coordinar la actualización con el proveedor de alojamiento cuando no tienen acceso directo a esa infraestructura.
Ataques emergentes y una carrera contra el tiempo
La urgencia también responde a indicios de actividad maliciosa. Dane Knecht, director de tecnología de Cloudflare, informó que estaban apareciendo los primeros ataques y que la compañía actualizaba sus reglas de firewall para ofrecer una protección provisional. Sin embargo, advirtió que esas medidas eran solo un paliativo y que la prioridad debía ser instalar las correcciones oficiales.
La situación llevó a varios organismos a desconectar servicios públicos. Entre los afectados estuvieron sitios gubernamentales de Países Bajos, Finlandia, Francia y Alemania, además de otras organizaciones europeas. En algunos casos, las autoridades aclararon que la interrupción era preventiva y que no habían identificado evidencias de una intrusión. La caída temporal de los portales no implicaba, por sí misma, que sus sistemas hubieran sido comprometidos.
Las autoridades también señalaron que potencialmente podrían estar afectadas versiones de PHP desde la rama 5 en adelante, aunque el alcance exacto debía confirmarse con la información técnica publicada por el equipo del lenguaje y las versiones corregidas. Esta incertidumbre refuerza la necesidad de inventariar los activos tecnológicos antes de dar por resuelto el incidente.
El episodio incorpora otro elemento relevante: el papel de la inteligencia artificial en el descubrimiento de vulnerabilidades. Según la información publicada por Reuters, los fallos fueron identificados con ayuda de IA, después de haber permanecido inadvertidos durante años. La misma capacidad que permite a los investigadores encontrar errores difíciles de detectar también puede acelerar el análisis de software y reducir el tiempo necesario para identificar debilidades explotables.
Para los responsables de tecnología y seguridad, la lección inmediata es operativa: conocer las dependencias de cada aplicación, identificar qué sistemas ejecutan PHP, aplicar los parches correspondientes y verificar que la corrección haya sido efectiva. Cuando no sea posible reducir el riesgo de manera inmediata, aislar los servicios vulnerables puede ser preferible a mantenerlos expuestos.
Comentarios