Dos fallos críticos de seguridad en PHP, un lenguaje de programación usado para crear sitios web, llevaron a organismos y empresas a desconectar temporalmente algunos servicios mientras aplicaban una solución publicada el miércoles 21 de octubre. Las vulnerabilidades fueron halladas con ayuda de inteligencia artificial y, según las empresas de ciberseguridad que participaron en el descubrimiento, habían pasado inadvertidas durante más de una década.
El gobierno de Finlandia cerró temporalmente sus servicios web públicos. También quedaron inaccesibles el sitio del ayuntamiento de Edimburgo y algunas plataformas de programas de la BBC, entre ellas las de Doctor Who y The Traitors. La agencia de ciberseguridad de Países Bajos anunció que desconectaría su propio sitio, mientras que la Fundación Wikimedia informó que desactivó otros sistemas de manera preventiva; algunas personas no pudieron entrar a ciertas partes de Wikipedia.
La Agencia de Seguridad Nacional de Estados Unidos recomendó desconectar los sistemas que no pudieran actualizarse a tiempo. Según esa agencia, los fallos pueden abrir una vía directa a los archivos o las bases de datos de un servidor. El Centro Nacional de Ciberseguridad del Reino Unido y organismos de la Unión Europea y Australia también instaron a instalar las correcciones o considerar la desconexión temporal.
Alerta por el alcance de las vulnerabilidades
Las empresas Calif y Wiz detectaron los problemas mediante modelos de inteligencia artificial desarrollados por OpenAI. Wiz los calificó como los fallos más graves descubiertos hasta ahora con esa tecnología. OpenAI describió el caso como uno de los problemas de seguridad de mayor impacto de los últimos tiempos.
Se estima que cerca del 70 % de internet podría estar afectado, pero esa cifra no fue verificada por la BBC. Los investigadores indicaron que las vulnerabilidades podrían abarcar versiones desde PHP 5, lanzada en 2004. La Fundación PHP publicó la actualización para las versiones más recientes y se instó a quienes usan PHP 8.1 o anteriores a actualizar.
El Equipo de Respuesta a Emergencias Informáticas de la Unión Europea señaló que las evaluaciones de riesgo apuntan a la posibilidad de ejecutar código a distancia sin autenticación. Eso podría permitir instalar programas maliciosos o sabotear sitios. La firma Huntress advirtió que PHP está integrado en numerosas plataformas y servicios, a veces sin que la organización usuaria sepa que lo ejecuta.
Don Smith, experto de la Unidad de Lucha contra las Amenazas de Sophos, dijo que los atacantes probablemente priorizarán estos fallos y que las organizaciones deben localizar todas las instalaciones de PHP, además de vigilar señales de intrusión previa. Dane Knecht, director de tecnología de Cloudflare, afirmó que ya observaban ataques iniciales y ajustaban sus medidas de mitigación. El centro británico de ciberseguridad recomendó mantener la vigilancia sobre actualizaciones de proveedores y productos de terceros que incluyan PHP.
En otros anuncios relacionados, la primera ministra de Japón, Sanae Takaichi, pidió revisar si los sitios públicos usan PHP. La Casa Blanca dijo que agencias federales trabajaban con laboratorios de inteligencia artificial para acelerar la solución. En el Reino Unido, el secretario de Estado para la Inteligencia Artificial, Kanishka Narayan, afirmó que sistemas de esa tecnología habían encontrado 500 vulnerabilidades nuevas en áreas importantes del sector público.
