El descubrimiento de al menos dos vulnerabilidades en el lenguaje de programación PHP (Preprocesador de Hipertexto), divulgadas hoy, miércoles, inició una carrera en la que los gobiernos de múltiples países desactivaron sus servidores para instalar parches de emergencia.

El Servicio de Innovación y Tecnología de Puerto Rico (PRITS) aseguró que trabaja con las agencias de gobierno para actualizar sus servidores y mitigar y/o cerrar posibles vectores de ataque.

PHP es un lenguaje de programación de código fuente abierta (open source) que se utiliza en servidores. Es una herramienta que esencialmente traduce comandos (scripts) a HTML (Lenguaje de Marcado de Hipertexto) con el que se generan páginas en el internet.

PHP también sirve de enlace con bases de datos, como MySQL, y funciona en múltiples sistemas operativos (OS). El descubrimiento llevó a varias agencias y organizaciones en Estados Unidos y Europa a desconectar temporalmente sus servidores para instalar las actualizaciones preparadas por el Equipo de Seguridad PHP, parte de la Fundación PHP.

Las dos vulnerabilidades divulgadas afectan todas las versiones disponibles de PHP, desde la versión 5 hasta las versiones actuales como 8.2, 8.3, 8.4 y 8.5.

“En la mañana de hoy recibimos una notificación y estuvimos avisando a todas las principales oficinas informáticas de las agencias [de gobierno] para que tuvieran conocimiento sobre la situación. No obstante, se empezó a hacer un inventario, un escaneo de forma externa para identificar todo lo que está pasando en el gobierno de Puerto Rico”, explicó a El Nuevo Día el director de PRITS, Poincaré Díaz Peña.

Según el funcionario, ejecutaron un escaneo externo de los servidores del gobierno e identificaron al menos cinco instancias de sistemas que tenían que ser actualizados. Díaz Peña añadió que se notificó a las agencias pertinentes y que trabajaban para instalar las actualizaciones.

De momento, PRITS no indicó cuántos sistemas del gobierno podrían verse afectados por las vulnerabilidades.

Al ser al menos dos vulnerabilidades no identificadas sino hasta este miércoles, Díaz Peña resaltó que no había manera de detectar la o las fallas en el lenguaje que pudiesen haber abierto la puerta a ciberataques o a la ejecución de código malicioso.

“No obstante, en la parte del proceso que nosotros hemos establecido, básicamente esto es notificar a las agencias. Obviamente la ciberseguridad es una responsabilidad en cuanto a la respuesta a un incidente que compartimos con la agencia. La misma responsabilidad también tienen los oficiales principales de informática de cada una de estas (agencias), que tienen que tomar acción para poder trabajar lo que es la mitigación y el escaneo constante, la evaluación constante. Es parte del protocolo y algo que cada agencia debe estar trabajando todos los días”, enfatizó Díaz Peña.

La División Cyber del Negociado Federal de Investigaciones (FBI) indicó que las vulnerabilidades podrían también permitir que actores maliciosos ejecuten código de forma remota, lo que podría poner en riesgo datos sensibles y redes. El FBI recomendó a los operadores la desconexión de los servidores afectados hasta completar la actualización y/o instalación de los parches.

“Notificamos, (y) ahora estamos desarrollando también un portal que vamos a estar trabajando para notificar no solamente a las agencias, también de igual forma al ciudadano, para que esté al tanto de situaciones como esta, al igual que (dónde obtener los) parches y también de otros de tipos de fraude que se dan en las redes sociales. La idea es orientar al ciudadano de otros asuntos que tienen que ver con ciberseguridad o con fraudes cibernéticos”, expresó el director.

Díaz Peña sostuvo que, en cuanto a próximos pasos, darán seguimiento a las agencias luego del escaneo externo realizado. Así evaluarán cuáles son las agencias que enfrentan mayor riesgo.

“El continuo seguimiento es la clave de esto. Una vez esté notificada, nosotros vamos a estar dando seguimiento a todas estas agencias para que trabajen en la mitigación, asegurarnos que llevan a cabo la mitigación correctamente”, concluyó.