Los creadores de PHP, el lenguaje que impulsa hasta el 70% de las páginas web del mundo, dieron a conocer una vulnerabilidad crítica detectada con ayuda de inteligencia artificial. Piratas informáticos podrían aprovecharla para tomar el control de cualquier sistema que ejecute ese software.
Según The Wall Street Journal, responsables de varios de los sitios potencialmente afectados los desactivaron de manera preventiva, ya que los sistemas de IA de última generación podrían explotar con facilidad la brecha. Portales de gobiernos y empresas de todo el planeta quedaron sin servicio por un breve período mientras sus operadores aplicaban parches.
Las autoridades de ciberseguridad reaccionaron de inmediato. El Instituto Nacional de Ciberseguridad (Incibe) recomendó actualizar cuanto antes los sistemas y recomendó medidas temporales para quienes no puedan instalar las nuevas versiones. La Agencia de Seguridad Nacional de Estados Unidos fue en la misma línea y remarcó que «todas las organizaciones que utilicen PHP en sus sistemas deben prepararse para instalar una actualización que corrija dos vulnerabilidades críticas».
La Oficina Federal de Seguridad en las Tecnologías de la Información de Alemania advirtió que «en estos momentos, unas vulnerabilidades críticas en el lenguaje de programación PHP suponen una amenaza para las aplicaciones web de todo el mundo». En Países Bajos, numerosas instituciones públicas, empresas y medios desconectaron sus portales, y Japón emitió una alerta similar. También hubo suspensiones temporales en sitios oficiales de Francia, Dinamarca y Finlandia, en la Fundación Wikimedia y en el medio irlandés The Journal.
Los detalles del fallo que pone en jaque a las páginas web
El problema se conoce como PHP2Shell y agrupa dos vulnerabilidades críticas vinculadas a la forma en que PHP gestiona la memoria de un ordenador. Los atacantes podrían usarlas para ejecutar software no autorizado en cualquier servidor web sin parchear, acceder a los sitios y leer datos almacenados en la memoria, como contraseñas. Según Cloudflare, también permitirían interrumpir servicios y exponer información de los usuarios.
Esas fallas permanecieron ocultas en el código durante más de una década. Fueron descubiertas a fines de agosto por equipos de OpenAI, la firma de ciberseguridad Wiz y otra empresa del sector, y se hicieron públicas recién cuando la PHP Foundation desarrolló una solución.
OpenAI explicó que lideró durante dos meses una coalición de investigadores y proveedores de seguridad, y detalló que «los responsables del mantenimiento de PHP lideraron el desarrollo de las correcciones y su publicación, mientras que nuestros equipos y socios como Wiz, Cloudflare y otros participantes contribuyeron con investigaciones, asistencia técnica y coordinación para preparar las medidas de protección antes de que se hicieran públicas las vulnerabilidades».
Fuente: C5N
