Una vulnerabilidad crítica en PHP, el lenguaje de programación que sustenta aproximadamente el 70% de los sitios web a nivel mundial, ha desencadenado una carrera contrarreloj para administradores de sistemas, empresas y gobiernos. El parche de seguridad 8.5.12 fue publicado por los desarrolladores del lenguaje, pero los intentos de explotación se han disparado a millones en cuestión de horas, según reportes de la firma de servicios en la nube Cloudflare.
El descubrimiento de estas fallas, asistido por inteligencia artificial, fue calificado por OpenAI como “uno de los problemas de seguridad de mayor impacto que se recuerdan recientemente”. La noticia trasciende fronteras y afecta directamente a México y América Latina, donde una parte significativa de la infraestructura digital, tanto pública como privada, depende de PHP.
¿Qué son las vulnerabilidades y por qué son tan graves?
De acuerdo con James Sullivan, director de Ciberseguridad y Tecnología del Royal United Services Institute en Londres, las dos fallas críticas detectadas mediante inteligencia artificial permiten a actores maliciosos obtener acceso no autenticado a sitios web. En teoría, esto les otorgaría la capacidad de controlar un servidor web de forma remota sin necesidad de una contraseña.
Una de las vulnerabilidades corrompe la memoria del sistema, impidiéndole retener determinados datos, lo que permite a un atacante aprovechar el sistema mediante su propio código. La otra falla provoca que los datos de los usuarios permanezcan almacenados en el sistema en lugar de ser eliminados, lo que podría permitir que un tercero malintencionado acceda a ellos, los descargue o incluso los borre.
Sullivan calificó la desconexión de los sitios web durante la resolución del problema como una “buena práctica” y una gestión adecuada del riesgo cibernético; no obstante, señaló que resulta “asombroso” que algunas de estas fallas tengan más de una década de antigüedad.
Intentos de ataque se disparan a millones
Matthew Prince, director ejecutivo de Cloudflare, informó a través de la red social X que en las 10 horas previas al anuncio público observaron miles de intentos de explotación en toda su red. “La cifra aumentó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en un plazo de 2 horas, y ahora se cuenta en millones”, detalló.
La división cibernética del FBI advirtió que dichas vulnerabilidades podrían permitir a actores malintencionados ejecutar código de forma remota en PHP, aumentando el riesgo de que se vean comprometidos datos confidenciales y redes. Por ello, recomendó a los administradores desconectar los sitios web si no es posible actualizarlos de inmediato.
Respuesta gubernamental y empresarial a nivel global
En el Reino Unido, la oficina del primer ministro informó que algunos servicios gubernamentales “limitados” podrían permanecer desconectados temporalmente mientras se trabaja para resolver posibles problemas de ciberseguridad. Una portavoz señaló que “se han realizado labores en todo el Gobierno para identificar y corregir posibles vulnerabilidades en nuestros sistemas” y que los expertos continúan trabajando en estrecha colaboración con OpenAI y socios internacionales.
En Japón, el sitio web de la prefectura de Osaka indicó que su servicio de traducción automática no estaba disponible “debido a un fallo en el sistema”. El gobierno japonés emitió una advertencia a través de redes sociales, aconsejando a los administradores de sitios web verificar si utilizan PHP e instalar de inmediato el parche publicado. Sanae Takaichi, funcionaria del gobierno, declaró que “si resulta difícil aplicar el parche de corrección con prontitud, la suspensión temporal de los sitios web —u otras medidas similares— puede considerarse una forma eficaz de reducir el riesgo”.
El secretario jefe del Gabinete, Minoru Kihara, indicó que el gobierno no ha recibido informes sobre daños causados por ciberataques relacionados con esta vulnerabilidad en PHP.
En Finlandia, el sitio web del gobierno informó que la interrupción ya se había resuelto, aunque añadió que “todavía falta parte del contenido, el cual se está restaurando actualmente”.
El papel de la inteligencia artificial en el descubrimiento
OpenAI informó en su blog que, durante los últimos dos meses, ha liderado una coalición compuesta por investigadores, proveedores de seguridad y otros actores para abordar las vulnerabilidades en PHP. Según la compañía, la IA pareció haber detectado las vulnerabilidades antes que cualquier atacante.
“Esto tiene su lado bueno y su lado malo”, señaló Sullivan, explicando que, si bien la IA puede ayudar a los atacantes a identificar nuevas vulnerabilidades, también puede servir para descubrirlas y corregirlas.
El motivo por el cual algunos sitios web podrían seguir sin funcionar es que existen múltiples parches disponibles para distintos tipos de software; es posible que algunas organizaciones aún estén a la espera de recibirlos y, además, estos deben someterse a pruebas para garantizar su correcto funcionamiento.
Recomendaciones para administradores en Latinoamérica
La PHP Foundation, que cuenta con desarrolladores dedicados a reforzar la seguridad de este lenguaje de programación, anunció la publicación de correcciones para estas vulnerabilidades, junto con instrucciones sobre cómo actualizar los sistemas. La Agencia de Ciberseguridad de la Unión Europea (ENISA) recomendó a las organizaciones “tomar medidas inmediatas” para abordar estas vulnerabilidades.
Para los administradores de sitios web en México y América Latina, las acciones urgentes incluyen:
- Verificar si sus sistemas utilizan PHP y aplicar el parche 8.5.12 de inmediato.
- Si no es posible actualizar, considerar la desconexión temporal de los sitios web como medida de precaución.
- Monitorear los registros de acceso en busca de actividad sospechosa.
- Mantenerse informados a través de los canales oficiales de la PHP Foundation y las agencias de ciberseguridad.
La magnitud de esta vulnerabilidad subraya la importancia de la gestión proactiva de parches y la colaboración internacional en ciberseguridad. Con millones de intentos de ataque registrados, la ventana de exposición se reduce a medida que más organizaciones aplican las correcciones, pero el riesgo persiste para aquellos que aún no han actualizado sus sistemas.
