El lenguaje que se considera la columna vertebral de Internet se ve ahora afectado por lo que los expertos describen como una de las vulnerabilidades más destacadas de los últimos tiempos.

PHP es un lenguaje de scripting de uso general muy extendido, orientado al desarrollo web y que, por ello, es el motor de la gran mayoría de los sitios web de todo el mundo. Cuando la organización responsable del lenguaje y la división cibernética del FBI alertaron el miércoles de la existencia de importantes vulnerabilidades en el lenguaje, las agencias gubernamentales, las empresas y otras organizaciones se vieron sumidas en un gran revuelo.

El episodio también pone de relieve cómo la inteligencia artificial está cambiando las reglas del juego en lo que respecta a la seguridad web.

A continuación te explicamos qué hay que tener en cuenta sobre el descubrimiento de las vulnerabilidades y sus consecuencias.

La página web oficial de PHP y otras organizaciones y organismos publicaron el miércoles avisos de seguridad en los que instaban a los usuarios de PHP a corregir dos vulnerabilidades críticas o a cerrar sus sitios web si no podían actualizarlos de inmediato.

La Fundación PHP, que trabaja para garantizar la transparencia y la rendición de cuentas en relación con el lenguaje, ha señalado que las vulnerabilidades podrían ser aprovechadas y permitir que personas malintencionadas obtuvieran acceso sin autenticación a sitios web que utilizan PHP.

Esto significaría que los atacantes podrían controlar un servidor web de forma remota sin necesidad de una contraseña, según ha declarado James Sullivan, director de ciberseguridad y tecnología del Royal United Services Institute de Londres. Esto podría permitir a un pirata informático robar datos, alterarlos o utilizar el sistema como plataforma desde la que lanzar otros ataques, ha añadido.

PHP es la base sobre la que funcionan aproximadamente el 70% de los sitios web de todo el mundo, por lo que la posible exposición a la vulnerabilidad era enorme.

Este lenguaje es gratuito y de código abierto, lo que contribuye a su gran difusión en Internet. PHP es la base de los sistemas de gestión de contenidos WordPress y Drupal, que suelen utilizar las administraciones públicas para sus sitios web, así como de MediaWiki, el software que hace funcionar Wikipedia.

Según los avisos de seguridad publicados esta semana, se han desconectado varios sitios web para evitar que quedaran expuestos mientras se solucionaba el problema. Se han producido interrupciones en algunos servicios y sitios web gubernamentales, entre otros, en el Reino Unido, Finlandia y Japón.

Es posible que algunas páginas web sigan sin funcionar, ya que hay varios parches disponibles para distintos tipos de software y es posible que algunas organizaciones aún estén a la espera de recibirlos. Además, es necesario probarlos para asegurarse de que funcionan correctamente.

Según la Fundación PHP, estas vulnerabilidades se conocen al menos desde 2024. Un equipo de seguridad elaboró varias propuestas de soluciones alternativas, pero todas ellas presentaban inconvenientes y parecía que no existía una forma práctica ni concreta en la que los atacantes pudieran aprovechar las vulnerabilidades, por lo que el avance en la corrección se estancó, según ha indicado la fundación.

El grupo asumió la responsabilidad de no haber encontrado una solución antes y afirmó: “No vamos a fingir lo contrario: el retraso se debió a un fallo estructural, provocado tanto por el proceso de toma de decisiones del equipo de seguridad como por su falta de recursos”.

Algunos expertos afirman que el descubrimiento de la vulnerabilidad podría haberse producido incluso antes de 2024.

Los agentes de inteligencia artificial ayudaron a descubrir las vulnerabilidades. En una entrada de blog, OpenAI afirmó que había liderado una coalición de investigadores, proveedores de seguridad y otras entidades para abordar las vulnerabilidades de PHP durante los últimos dos meses. Los investigadores de Wiz, una plataforma de seguridad en la nube, también afirmaron que habían utilizado de forma independiente la inteligencia artificial para identificar las vulnerabilidades.

La accesibilidad de la inteligencia artificial (IA) implica que muchas organizaciones, tanto grandes como pequeñas, disponen ahora de métodos más avanzados para responder de forma proactiva y reactiva ante las amenazas de seguridad. Pero también significa que los delincuentes disponen de métodos más avanzados para aprovechar los puntos débiles digitales, y a gran escala.

James Sullivan, del Royal United Services Institute de Londres, afirmó que este tira y afloja puede resultar preocupante, pero él se centra en el lado positivo.