Una alerta de seguridad sobre PHP, una tecnología que funciona detrás de gran parte de los sitios web, activó una carrera para actualizar servidores en todo el mundo. El martes 20 de octubre, sus desarrolladores avisaron que habían identificado dos fallas críticas. Este miércoles publicaron las correcciones y pidieron instalarlas de inmediato.

La preocupación se debe a lo que las fallas podrían permitir: bajo determinadas condiciones, un atacante puede enviar una solicitud desde internet a un servidor vulnerable y conseguir que ejecute instrucciones sin necesitar una contraseña. Eso podría abrirle acceso a archivos, bases de datos o al funcionamiento de una página. Las dos vulnerabilidades recibieron una calificación de gravedad de 9,2 sobre 10.

La reacción ya tuvo consecuencias visibles. Sitios gubernamentales de países europeos quedaron temporalmente fuera de servicio mientras sus responsables evaluaban el riesgo o aplicaban las actualizaciones. También retiraron algunos sistemas la organización que opera Wikipedia y, por un breve período, Internet Archive. En esos casos, la interrupción fue una medida de protección: que una página haya dejado de funcionar no significa que haya sido hackeada.

El alcance potencial explica la urgencia. PHP está presente en el 69,3% de los sitios cuya tecnología de servidor puede identificar W3Techs, una empresa que mide el uso de herramientas web. Esa cifra no significa que el 69,3% de internet haya sido atacado, ni que todos esos sitios estén expuestos de la misma manera, pero sí da a entender cuán extendida está la tecnología en la que se encontraron las fallas.

¿Qué es PHP?

La Fundación PHP advirtió sobre dos actualizaciones críticas. Foto: EFE

PHP es un lenguaje de programación que trabaja en el servidor donde está alojado un sitio. Cuando alguien abre una página, ese servidor puede usar PHP para buscar información, procesarla y preparar el contenido que enviará al navegador. El visitante ve el resultado, aunque nunca vea el código que hizo ese trabajo.

Por ejemplo, en una tienda online, PHP puede intervenir cuando el sitio muestra productos, registra una compra o consulta una cuenta. También forma parte del funcionamiento de WordPress y de otras plataformas utilizadas para crear blogs, medios, comercios y portales institucionales.

Por eso una falla en PHP puede alcanzar a sitios muy distintos entre sí.

¿Qué pasó este martes?

El equipo de seguridad de PHP publicó una advertencia antes de dar a conocer los detalles de las dos vulnerabilidades. Informó que ambas tenían una gravedad de 9,2 sobre 10 y pidió a quienes administran servidores que se prepararan para actualizar. La publicación de las correcciones quedó fijada para el miércoles 21 a las 14, hora UTC, las 11 de la mañana en Argentina.

La fecha original era el jueves 22. Según explicó después la PHP Foundation, el martes comenzaron a circular en foros y redes los identificadores de las fallas, acompañados por información incorrecta sobre su gravedad y el momento previsto para publicar las correcciones. El equipo adelantó tanto el aviso como la actualización. Más tarde se difundió por error un video de una prueba de ataque.

Este miércoles se publicaron versiones corregidas para las ramas de PHP que reciben actualizaciones del proyecto. Se trata de PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las instalaciones de versiones más antiguas requieren una actualización provista por su distribuidor o proveedor de alojamiento, si existe, o una migración a una versión compatible.

¿Qué puede hacer un atacante con estas fallas?

Una gran cantidad de sitios web usa PHP. Foto: Reuters

El riesgo principal se llama ejecución remota de código. En términos simples, significa que alguien que está fuera del servidor podría lograr que ese equipo ejecute instrucciones elegidas por él. En los casos demostrados por los investigadores, el ataque puede comenzar a operar sin que esa persona tenga una cuenta en el sitio.

Las consecuencias dependen de cada servidor y de los permisos disponibles. Un atacante podría intentar leer información, alterar páginas o usar el equipo comprometido para otros fines. La PHP Foundation advierte que el riesgo alcanza a las instalaciones que reciben solicitudes web y que una de las formas de usar PHP, conocida como mod_php, presenta un caso demostrado en el que el ataque puede activarse incluso antes de que empiece a funcionar el código propio del sitio.

Empresas de tecnología reportaron indicios de ataques tempranos, mientras que la PHP Foundation afirmó que, al momento de publicar las correcciones, su equipo no había identificado entre las pruebas que circulaban un método de ataque funcional. La agencia estadounidense CISA también indicó que no había observado explotación al momento de emitir su aviso. Todavía no hay una cifra verificada de sitios invadidos por estas vulnerabilidades.

A todo esto se suma que la inteligencia artificial asiste a los atacantes a la hora de detectar vulnerabilidades para ser explotadas.

¿Por qué una falla en PHP afecta a tantos sitios?

Muchos sitios comparten PHP aunque tengan diseños, dueños y funciones completamente diferentes. Una página municipal, un comercio y un blog pueden estar construidos con plataformas distintas, pero depender de ese mismo componente en sus servidores. Al encontrarse el problema en PHP, actualizar solamente el contenido o el diseño de la página no alcanza.

WordPress muestra la escala del problema. La plataforma se utiliza en cerca del 40% de los sitios web, según los datos citados por Reuters, y funciona sobre PHP. Un sitio de WordPress puede recibir actualizaciones automáticas de la plataforma y, aun así, necesitar que su proveedor de alojamiento o su administrador actualice PHP por separado.

Hay otra dificultad: muchas páginas pequeñas usan servicios de alojamiento compartido. Sus propietarios pueden administrar textos e imágenes sin tener acceso a la configuración del servidor.

En esos casos, la instalación de la corrección depende del proveedor que gestiona la infraestructura.

¿Cómo se descubrieron las fallas y qué papel tuvo la inteligencia artificial?

La historia comenzó antes de la alerta pública. La PHP Foundation reconoció que durante una auditoría de seguridad de 2024 aparecieron las primeras señales del problema que dio origen a una de las vulnerabilidades. En ese momento no se había encontrado una forma concreta de aprovecharlo para tomar un servidor. La organización admitió que el trabajo para resolverlo se demoró por dificultades técnicas, decisiones internas y falta de recursos, y calificó esa demora como una falla estructural.

En agosto de este año, investigadores de seguridad presentaron pruebas que permitieron comprender el alcance del problema. Equipos de Calif, OpenAI y Wiz utilizaron herramientas de inteligencia artificial durante sus investigaciones y coordinaron sus hallazgos con los responsables de PHP. La IA ayudó a encontrar y comprobar formas de explotar las fallas; las correcciones fueron desarrolladas y publicadas por el proyecto PHP.

Esa misma capacidad aumenta la presión después de la publicación del parche. Una vez disponibles las correcciones, también es posible estudiarlas para entender qué cambió e intentar atacar a quienes todavía no actualizaron. Es una de las razones por las que los avisos de seguridad insisten en actuar rápido.

¿Qué tienen que hacer los dueños de sitios y los usuarios?

Ciberatacantes pueden explotar estas fallas para entrar de manera no autorizada a sitios web. Foto: Archivo

Quien administra un sitio debe averiguar qué versión de PHP utiliza y quién se ocupa de actualizarla. Si contrata un servicio de alojamiento, corresponde consultar al proveedor si ya instaló la corrección. Si gestiona su propio servidor, debe aplicar la versión corregida o el paquete de seguridad correspondiente a su distribución. El equipo de PHP advierte que las medidas temporales pueden reducir algunas vías de ataque, pero que la actualización es la única solución completa.

Cuando una organización no puede actualizar de inmediato, las agencias de seguridad han recomendado considerar la retirada temporal de los sistemas afectados. Esa decisión explica parte de las interrupciones registradas este miércoles en sitios públicos europeos. Después de instalar el parche, los responsables también deberán revisar sus sistemas para determinar si hubo actividad sospechosa durante el período de exposición.

Para quien simplemente visita páginas, usa una tienda online o lee un medio, no hay un parche de PHP que instalar en el celular o la computadora: PHP funciona en el servidor del sitio. La tarea urgente recae en sus administradores y proveedores de alojamiento.

El desarrollo del caso dependerá de cuántos servidores se actualicen antes de que aparezcan métodos de ataque eficaces contra los que sigan expuestos a potenciales ataques.