Dos vulnerabilidades críticas en PHP, un lenguaje de programación presente en gran parte de internet, provocaron una alerta de ciberseguridad global y obligaron a retirar temporalmente sitios y servicios en varios países.
Las fallas pasaron más de una década sin detectarse y salieron a la luz con ayuda de inteligencia artificial (IA).
Hasta la mañana de este viernes no había ataques exitosos reportados con el error, bautizado php2shell. Aun así, las interrupciones de servicios siguen extendiéndose por el mundo, asegura la BBC.
Qué es PHP y por qué importa
En concreto, el PHP es un lenguaje que funciona en el servidor de un sitio web y convierte datos en la página que ve el usuario. Nació a comienzos de los años 90 y hoy sostiene a Wikipedia, tiendas en línea y WordPress, el sistema con que se hacen muchos sitios de Internet.
La firma de ciberseguridad Wiz, que participó en el hallazgo, calcula que PHP impulsa el 70% de los sitios web del mundo.
De igual manera, la empresa Calif informó dos errores inherentes al lenguaje, presentes en versiones de la última década. Los calificaron con 9,2 sobre 10 en gravedad. Según Wiz, en las condiciones adecuadas un atacante podría tomar el control de servidores y robar datos sensibles.
Ryan Austin, investigador de Calif, dijo a la BBC que es “la vulnerabilidad más grave” que ha encontrado. Paul Spain, director de Gorilla Cyber Security, estimó que podría afectar a “millones y millones” de sitios.
Los investigadores usaron herramientas de IA de OpenAI, capaces de analizar código mucho más rápido que las personas. “Los errores de fondo no eran nuevos; lo que cambió fue nuestra capacidad de encontrarlos”, afirmó Salil Kanhere, investigador de la Universidad de Nueva Gales del Sur, en Sídney.
Sitios caídos y alertas de gobiernos
La alerta del 21 de octubre afectó desde plataformas de videojuegos hasta portales estatales. Wikimedia, organización detrás de Wikipedia, desconectó algunos sistemas por precaución, y lo mismo hicieron el gobierno de Finlandia y la agencia de ciberseguridad de los Países Bajos. El gobierno británico bajó 32 sitios.
En Japón, según el diario Mainichi, la operadora SoftBank suspendió sus alertas de terremotos y tsunamis, que se reanudarían el lunes.
Por otro lado, la Agencia de Seguridad Nacional de EEUU pidió desconectar los sistemas que no puedan parchar de inmediato, y advirtió que la falla ofrece un “camino directo” a las bases de datos.
Es más, la Unión Europea, Singapur y Australia emitieron avisos similares.
Qué debe hacer quien tiene un sitio web
La Fundación PHP, organización sin fines de lucro que mantiene el lenguaje, lanzó el miércoles las correcciones y pidió actualizar de inmediato. Los expertos prevén más intentos de ataque, pues los detalles técnicos ya son públicos.
Quien administre un sitio debe instalar la versión corregida de PHP, algo que no se resuelve actualizando WordPress ni sus complementos. Si lo gestiona una empresa de hosting o un desarrollador, conviene preguntarles si ya lo hicieron.
Los usuarios comunes deben atender los avisos de los servicios afectados, como cambios de contraseña, y desconfiar del phishing (correos falsos para robar datos) que aproveche el caso, recomienda Kanhere.
Enviando corrección, espere un momento...
