Un ordenador portátil Omicrono
Un fallo que afecta al 75% de las páginas de todo el mundo obliga a cerrar miles de webs: fue descubierto con IA
Se trata de una de las mayores vulnerabilidades de la historia de Internet, y ya ha provocado el cierre de varios servicios gubernamentales.
Más información: Rave, hacker español, sobre usar un correo con tu nombre y apellidos: "Es lo peor que puedes hacer, expones tu identidad"
Miles de páginas web han cerrado de manera repentina, después de que se hayan descubierto dos vulnerabilidades que ponen en peligro a buena parte de Internet y permiten ejecutar código malicioso que puede poner en peligro tanto a los visitantes como a los propietarios.
Los desarrolladores de PHP, el lenguaje de programación más usado para crear páginas web, han publicado hoy parches de seguridad para cerrar dos vulnerabilidades consideradas "críticas" que pueden destruir buena parte de Internet.
La PHP Foundation, encargada del mantenimiento del lenguaje, ha alertado a los administradores que "es imperativo que actualicen ahora mismo" sus servidores para obtener las nuevas versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 de PHP.
Las vulnerabilidades permiten que un atacante no autorizado ejecute código en los servidores que están usando PHP, lo que abre la puerta a todo tipo de ataques como robo de datos de los usuarios y ejecución de malware al entrar en la página web.
Por todo esto, los desarrolladores han otorgado una puntuación de severidad de 9.2 sobre 10 a las vulnerabilidades, alertando a todos los administradores de sistema y propietarios de páginas web para que actualicen lo antes posible.
En respuesta, las páginas web oficiales de multitud de empresas y de varios gobiernos de todo el mundo, además de las páginas de hospitales, universidades y otros servicios públicos, han cerrado hasta que los responsables de sus servidores puedan realizar la actualización.
Además, en algunos países como Alemania los proveedores de servicio han sido los responsables de cerrar el acceso a toda su red, dejando sin servicio a todas las páginas web y aplicaciones que dependen de ellos. Mientras tanto, el ministro de Interior francés ha tomado la decisión de cerrar las páginas de los gobiernos locales hasta que instalen los parches.
Sin embargo, la noticia ha corrido rápido entre los hackers, y ya hay algunos reportes de sitios que han sido atacados y han dejado de estar accesibles como resultado.
Dane Knecht, CTO de Cloudflare, afirmó en su cuenta de X que la compañía ya ha detectado algunos ataques tempranos usando estas vulnerabilidades y que están intentando mitigar los ataques con varios cambios en tiempo real.
PHP está en todas partes
El gran problema de estos fallos es que PHP se encuentra presente en aproximadamente el 75% de las páginas web de todo el mundo, y es la pieza fundamental de servicios como Wordpress, que permite a cualquiera crear páginas o blogs sin muchos conocimientos técnicos.
PHP es un lenguaje de programación, pero a diferencia de otros como C++ o Python, no se ejecuta en el dispositivo del usuario sino en el servidor web; cuando un usuario visita una página, el servidor usa las instrucciones PHP que ha creado el desarrollador para crearla y enviársela al navegador en formato HTML una vez terminada. De esta manera, es posible crear páginas más complejas cuyo contenido se puede cambiar fácilmente.
PHP es gratuito y se distribuye con una licencia abierta y eso ha fomentado su expansión por toda Internet, con multitud de servicios y páginas que lo usan aunque no lo afirmen públicamente.
Hasta ahora, esta naturaleza abierta y el trabajo de voluntarios y de la PHP Foundation ha sido suficiente para crear un lenguaje seguro, pero en la era de la Inteligencia Artificial puede que no lo sea. Conforme los modelos se especializan en ciberseguridad, son capaces de encontrar 'huecos' y vulnerabilidades que los creadores originales ni siquiera se imaginaron.
De hecho, el descubrimiento de estos dos 'bugs' ha sido en parte gracias a la IA. La compañía de ciberseguridad Wiz, propiedad de Google, afirma que sus investigadores encontraron los fallos usando parcialmente herramientas de IA, y sus hallazgos fueron confirmados por OpenAI usando su nuevo modelo, GPT-5.6 Sol, que también contribuyó en el desarrollo de los parches.
