Los desarrolladores del lenguaje de programación PHP han lanzado actualizaciones para corregir los fallos que podrían tumbar muchas páginas
Miles de sitios web, entre ellos páginas gubernamentales de Europa y otras regiones, quedaron fuera de servicio este miércoles después de que la divulgación de vulnerabilidades críticas en PHP obligara a los administradores de sitios web de todo el mundo a tomar medidas urgentes para proteger sus sistemas.
El lenguaje PHP sustenta gran parte de Internet, y estas vulnerabilidades han generado preocupación de que un número considerable de sitios web pueda ser vulnerable a ataques. Los desarrolladores lanzaron cuatro parches para solucionar dos vulnerabilidades “críticas” que podrían permitir a los atacantes ejecutar código en los sistemas afectados.
Los programadores han instado encarecidamente a los usuarios a realizar una actualización de inmediato. La PHP Foundation, entidad que supervisa el desarrollo y mantenimiento del software, explicó en una publicación de blog que, en 2024, un investigador de seguridad detectó usando inteligencia artificial los primeros indicios de un fallo que derivó en una de estas vulnerabilidades.
Sin embargo, señaló que, aunque el problema se planteó como una posibilidad teórica, “no se encontraron vectores concretos, y otros problemas más evidentes eclipsaron estas preocupaciones”.
La fundación admitió que el retraso en abordar dicho problema fue un fallo estructural”. Expertos en seguridad advirtieron de que los atacantes podrían realizar rápidamente ingeniería inversa sobre los parches para intentar explotar los sistemas que no hayan sido actualizados.
La Agencia de Seguridad Nacional (NSA) de Estados Unidos señaló en un comunicado que estas vulnerabilidades “a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor”, y añadió que, si no es posible realizar una actualización inmediata, las organizaciones deberían desconectar sus sistemas para aplicar las medidas de mitigación necesarias.
Ante las advertencias de empresas tecnológicas de que algunos piratas informáticos ya estaban explotando estos fallos, varios organismos gubernamentales en Europa optaron por desconectar sus sitios web como medida de precaución.
La inteligencia artificial está impulsando una “carrera por explotar” la vulnerabilidad, señaló Costin Raiu, cofundador de TLP:Black, una firma especializada en ciberseguridad y respuesta ante incidentes, a Reuters. Según Raiu, el siguiente paso podría ser que se comprometan masivamente “todos los servidores web vulnerables en Internet”.
PHP es un lenguaje que se remonta a principios de la década de 1990 y cuyo nombre significaba originalmente “Personal Home Page”, o página web personal. Este lenguaje constituye la base de gran parte de la Internet pública. PHP opera en segundo plano: cuando un usuario carga una página, el servidor que ejecuta PHP ensambla el contenido y envía la página final al navegador. Es gratuito, de código abierto y está mantenido por voluntarios. Los propietarios de sitios web rara vez interactúan con él directamente. Según W3Techs, un servicio de seguimiento de tecnologías web, PHP impulsa cerca del 70 % de todos los sitios web cuyo lenguaje de programación puede identificarse. Es el motor detrás de WordPress, el software que sustenta aproximadamente el 40% de todos los sitios web, incluyendo blogs, páginas de pequeñas empresas, portales gubernamentales, tiendas en línea y sitios de noticias.
“Todos los servidores que utilicen cualquier versión de PHP lanzada en los últimos 20 años son vulnerables”, afirmó Tiffany Farriss, directora ejecutiva interina de la Drupal Association, en un comunicado. “Este problema afecta a la mayor parte de Internet”.
Agencias de ciberseguridad de Europa, Australia, Japón y el Reino Unido han instado a los usuarios de PHP a actualizar sus sistemas de inmediato o a desconectar sus sitios web hasta que se puedan aplicar los parches. Por ejemplo, los responsables de la enciclopedia en línea Wikipedia informaron que habían desactivado un número indeterminado de sistemas hasta que pudieran ser parcheados de forma segura.
Las vulnerabilidades descubiertas tienen una puntuación de 9,2 sobre 10 en la escala de gravedad CVSS v4.0, un sistema de calificación estándar en la industria. CERT-EU, el equipo de respuesta ante incidentes de ciberseguridad de la Unión Europea, señaló que esta calificación indica la posibilidad de ejecución remota de código sin autenticación; esto significa que un atacante puede ejecutar comandos en un servidor vulnerable a través de internet, sin necesidad de una contraseña o una cuenta de usuario.
Una sola vulnerabilidad en PHP abre la misma puerta en millones de servidores simultáneamente. Quien explota el fallo obtiene el control del sitio web. GoDaddy, un proveedor de alojamiento web, advirtió que esto podría derivar en el robo de datos, la alteración de páginas o el compromiso total del sistema. El director de tecnología de Cloudflare informó que ya se han detectado los primeros ataques.
La mayoría de los sitios web pequeños son gestionados por sus propietarios sin contar con personal especializado en seguridad; a menudo, utilizan alojamiento compartido, donde no administran el servidor y, en ocasiones, desconocen quién se encarga de actualizar PHP. Wordfence, un complemento de seguridad para sitios WordPress, advirtió que las actualizaciones automáticas habituales no incluirán esta corrección. La recomendación de CERT-EU es desconectar los sitios afectados en lugar de dejarlos expuestos.
¿Cómo se descubrió?
Investigadores de la firma de seguridad Calif, en colaboración con OpenAI, informaron sobre la primera vulnerabilidad en PHP el 11 de agosto, tras haberla detectado mediante el modelo GPT-5.6 Sol de OpenAI, según indicó la propia empresa. Wiz, una empresa de seguridad propiedad de Google (de Alphabet), descubrió las fallas de forma independiente y notificó una segunda vulnerabilidad el 24 de agosto, empleando también modelos de inteligencia artificial.
Según Wiz, estos hallazgos “se sitúan entre las vulnerabilidades más graves descubiertas en PHP y, posiblemente, en toda la historia del software”. La firma señaló que los fallos subyacentes habían estado presentes durante décadas, pero demostrar que podían ser explotados requería una cadena de pasos “al límite de lo que los investigadores humanos podrían lograr en la práctica”.
La administración del presidente estadounidense Donald Trump declaró que estaba “realizando un seguimiento y coordinándose con agencias federales y laboratorios líderes en “superinteligencia para acelerar la publicación de la solución”. El gobierno presentó el descubrimiento como una prueba de que la “superinteligencia” estadounidense refuerza la seguridad nacional.
Incluso algunos líderes mundiales —que normalmente no se involucran en cuestiones de actualizaciones de software— se han pronunciado al respecto. Sanae Takaichi, ministra japonesa, señaló en una publicación en X que los propietarios de sitios web deberían “verificar si su sitio utiliza PHP y prepararse para aplicar la nueva corrección”.
