Bomba PHP: los sitios web se ponen en pausa con urgencia
En todo el mundo, los propietarios de servidores están instalando actualizaciones a toda prisa y algunos sitios web se están desconectando temporalmente: se han descubierto vulnerabilidades críticas en PHP que podrían permitir a los atacantes ejecutar código y acceder a los sistemas. Según los especialistas, los intentos de ataque comenzaron antes incluso de que el problema se hiciera público, y un gran modelo de lenguaje —una IA entrenada para trabajar con texto y código— ayudó a encontrar las vulnerabilidades.
PHP es un lenguaje de programación que hace funcionar una parte considerable de internet. Sus desarrolladores han publicado parches de emergencia y han instado a instalarlos cuanto antes. Dos vulnerabilidades, bautizadas como PHP2Shell, permiten, en determinadas condiciones, ejecutar código ajeno en un servidor sin contraseña. Esto puede dar al atacante el control del sistema y la posibilidad de robar datos o modificar el contenido de un sitio web. Su nivel de peligrosidad se ha calificado con 9,2 puntos sobre 10.
PHP se utiliza en populares sistemas de gestión de contenidos como WordPress, Drupal, Joomla y Magento. Según W3Techs, este lenguaje está presente en aproximadamente el 75 % de los sitios web cuya tecnología de servidor se ha podido identificar. Eso no significa que todos esos sitios sean vulnerables o hayan sido pirateados: depende mucho de la versión de PHP y de la configuración del servidor. Pero la amplia difusión del lenguaje convierte el problema en una cuestión internacional.
Según los analistas, de los 2,6 millones de servidores con PHP detectados, alrededor de 1,5 millones indican versiones para las que no se ha publicado ninguna corrección. Esto supone un riesgo adicional: aunque exista un parche, no todos los servidores pueden recibir la actualización, por ejemplo, si utilizan una versión antigua del software.
En los Países Bajos se desconectaron el sitio del Centro Nacional de Ciberseguridad, un portal de información sobre servicios públicos, los servicios del puerto de Róterdam y los de varios hospitales. En Francia, los sitios web del Ministerio del Interior pasaron a estar en mantenimiento. El proveedor estatal finlandés de servicios informáticos advirtió de posibles interrupciones en sus servicios.
La cronología causa especial preocupación: el primer intento de intrusión registrado se produjo el 17 de octubre, cuatro días antes del anuncio oficial de las vulnerabilidades. Después llegaron nuevos intentos. Otro sistema de monitorización también informó de ataques anteriores a la divulgación pública del problema y advirtió expresamente de que los filtros de protección no sustituyen a la instalación de actualizaciones. Aún se desconoce quién estuvo detrás de los primeros ataques. Tampoco hay confirmación de que todos los intentos registrados acabaran en intrusiones exitosas.
Los investigadores descubrieron las vulnerabilidades con ayuda de un gran modelo de lenguaje. Según ellos, la IA facilitó la preparación de un ataque funcional, algo que antes requería mucho trabajo manual. La misma tecnología puede ayudar a los atacantes a analizar las correcciones, comparar el código nuevo con el antiguo y buscar servidores que aún no se hayan actualizado. El cofundador de TLP, Costin Raiu, advirtió del riesgo de ataques masivos contra servidores web vulnerables.
La corrección se hizo esperar. Según la Fundación PHP, los indicios de uno de los errores se detectaron ya en 2024, pero entonces no se consiguió encontrar la forma de explotarlo. La preparación del parche se prolongó por temor a romper la compatibilidad del software y por falta de especialistas. En octubre, la información sobre las vulnerabilidades y una demostración del ataque se filtraron en internet antes de la divulgación prevista, por lo que el lanzamiento de las actualizaciones se adelantó al 21 de octubre.
Los propietarios de sitios web deben comprobar qué versión de PHP utilizan e instalar las correcciones. No basta con actualizar WordPress o sus complementos: también es importante actualizar el propio servidor. Por ahora no se puede afirmar que todos los intentos detectados acabaran en intrusiones. Sin embargo, la amplia utilización de PHP, unas vulnerabilidades que podrían haber pasado inadvertidas durante años y la aceleración de la preparación de ataques gracias a la IA dejan cada vez menos tiempo de reacción a los propietarios de servidores.
PEREC.RU
La seguridad digital tiene una propiedad asombrosa: durante años parece aburrida, hasta que un día se convierte en un problema de todos, desde hospitales y servicios públicos hasta puertos. Entonces se descubre que las actualizaciones no son un capricho de administradores pedantes, sino ese trabajo tedioso que se fue aplazando hasta que el servidor empezó a atraer atenciones indeseadas.
Resulta especialmente elocuente la brecha entre la velocidad a la que se detectan las amenazas y la rapidez con que se responde a ellas. El fallo podía conocerse desde hacía tiempo, pero corregirlo exigía cautela, compatibilidad y especialistas; es decir, todo lo que suele faltar en sistemas donde al recorte de costes se le llama eficiencia. Y luego la información se filtró antes de tiempo, y el calendario previsto de actualizaciones cedió el paso a los bomberos.
La IA no es aquí un villano con planes propios, sino un acelerador de las intenciones humanas. Ayuda a los investigadores a encontrar puntos débiles, pero puede servir del mismo modo a quienes prefieren los servidores ajenos a los propios. La tecnología es neutral más o menos como una ganzúa: mucho depende de quién la tenga en las manos, y los sermones posteriores a un ataque no suelen devolver los datos.
También existe la cómoda ilusión de que basta con actualizar la plataforma conocida de un sitio web —por ejemplo, WordPress— para volver a ocuparse de asuntos importantes. Pero la infraestructura es menos teatral: una fachada bonita no protege los cimientos. Si el propio servidor funciona con una versión vulnerable de PHP, un lavado de cara de la interfaz no lo convierte en una fortaleza.
Algunos, por supuesto, prefieren considerar estos incidentes pequeños contratiempos técnicos y poco frecuentes. Hasta el próximo apagón, cuando el inconveniente ya no afecte a una «internet» abstracta, sino a un hospital o servicio público concreto. Entonces se descubre de repente que la ciberseguridad no es una casilla del informe ni una consultora con vínculos oportunistas y una presentación de cuarenta diapositivas, sino la capacidad de aplicar una corrección a tiempo.
La ironía es que una vulnerabilidad no tiene que afectar a todos los sitios para causar grandes daños. Basta con que la tecnología esté muy extendida, haya muchos servidores sin actualizar y exista una herramienta que acorte el camino de los atacantes desde la idea hasta la acción. Lo demás lo hará la esperanza de siempre: «a nosotros no nos verán», un plan universal que funciona de maravilla hasta que aparece la primera entrada en el registro de ataques.
Ahora los propietarios de sistemas no solo tendrán que actualizar, sino también comprobar qué tienen exactamente en funcionamiento y qué versiones siguen respondiendo desde la red. A los usuarios les queda esperar que haya cerca un administrador que no haya tenido que ver titulares sobre servicios temporalmente desconectados para conseguir permiso para hacer el mantenimiento como es debido. En el mundo digital, la prevención sigue pareciendo aburrida, justo hasta que se convierte en la única forma de no tener que explicar por qué está todo apagado.
