Gobiernos y empresas de todo el mundo se apresuran a parchear sus sitios web —o a desconectarlos temporalmente hasta que puedan solucionarse— tras el descubrimiento de importantes fallos de seguridad en PHP, un programa informático que sustenta gran parte de internet.

OpenAI, cuyos modelos de inteligencia artificial se utilizaron para encontrar los fallos, afirmó en una entrada de blog que se trataba de "uno de los problemas de seguridad más importantes de los últimos tiempos" dado el uso generalizado de PHP.

Si bien muchos sitios web fueron desactivados como medida de protección, hasta el jueves por la tarde no se había confirmado ningún ataque exitoso utilizando las vulnerabilidades de PHP, según un análisis de Dataminr, una empresa de ciberseguridad especializada en inteligencia de riesgos.

«La actividad observada desde la divulgación de la vulnerabilidad se limita al escaneo, la identificación de vulnerabilidades y el uso de exploits que no funcionan, sin que se hayan producido vulneraciones conocidas», declaró Dataminr, aunque añadió que era «solo cuestión de tiempo» antes de que se produjeran intrusiones exitosas.

¿Qué es PHP?

PHP, acrónimo de PHP: Hypertext Preprocessor, es un lenguaje de programación de código abierto con décadas de antigüedad que se utiliza para crear y ejecutar aplicaciones web. Según algunas estimaciones, alrededor del 70 por ciento de todos los sitios web y aplicaciones web utilizan este software.

Entre los servicios que utilizan PHP como componente fundamental se encuentran los sistemas de gestión de contenido como WordPress y Drupal, que ayudan a administrar sitios web. Dado que PHP es un código básico integrado en muchas plataformas —una especie de infraestructura digital invisible—, muchas empresas ni siquiera se dan cuenta de que dependen de él.

¿Cómo se descubrió el fallo?

Investigadores de seguridad descubrieron fallos en el lenguaje de programación que podrían ser explotados por un atacante externo.

El fallo, que llevaba años oculto en el software, fue identificado por investigadores de Calif, una pequeña empresa de ciberseguridad estadounidense, utilizando el modelo GPT-5.6 Sol de OpenAI. Investigadores de Wiz, una empresa de seguridad israelí-estadounidense propiedad de Google, también informaron de las vulnerabilidades de forma independiente.

Esta vulnerabilidad es la más reciente descubierta mediante herramientas avanzadas de IA, que, según advierten los expertos en ciberseguridad, son peligrosamente eficaces para encontrar fallos de seguridad y explotarlos. En su blog, OpenAI afirmó que el descubrimiento de la vulnerabilidad de PHP puso de manifiesto «cómo la IA puede descubrir fallos de seguridad con impacto a escala de internet, pero esas mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas y exploits ofensivos».

La compañía añadió que, hasta donde sabía, "la IA de vanguardia descubrió estas vulnerabilidades antes que los atacantes".

¿Cuáles son los riesgos?

Dado que PHP es la base de gran parte de la web, los profesionales de la seguridad temen que los hackers puedan actuar con rapidez contra los sistemas sin parchear, manipulando su funcionamiento y robando los datos privados que contienen. Los expertos también advirtieron que, al ser públicos los detalles técnicos, los ciberdelincuentes pueden aplicar ingeniería inversa a un parche para aumentar rápidamente sus intentos de explotar la vulnerabilidad.

Esto genera una carrera inusualmente urgente para actualizar los sistemas. Si bien los modelos de IA pueden ayudar a detectar vulnerabilidades, también pueden utilizarse para atacar a muchas víctimas a la vez.

La filtración de información sobre PHP se complicó aún más antes del lanzamiento del parche. El martes, se mencionaron detalles de los errores en una publicación de un foro de hackers, lo que llevó a la fundación sin fines de lucro que supervisa el software a lanzar una solución un día antes de lo previsto.

¿Ya han comenzado los ataques?

El miércoles, cuando se publicó el parche , tanto los defensores como los hackers comenzaron a trabajar a contrarreloj para proteger o vulnerar los sistemas . Sin embargo, ya había indicios de una filtración previa por parte del grupo de investigadores de seguridad que trabajaba en la solución.

El miércoles por la noche, Amazon reveló en una publicación de blog que tenía datos que demostraban que un atacante desconocido había intentado utilizar el ataque PHP cuatro días antes del lanzamiento del parche contra una red honeypot, o sistema señuelo, que la compañía mantiene. (Una red honeypot intenta atrapar a los ciberdelincuentes en el momento en que cometen algún delito).

Se desconocía la identidad del atacante, pero la actividad inicial sugería que los piratas informáticos podrían haber estado preparando ataques durante días antes de que se publicara una solución.

“Aún no está claro cómo el atacante obtuvo la información sobre la vulnerabilidad antes de su divulgación”, dijo CJ Moses, director de seguridad de la información de Amazon, en la publicación del blog.

¿Qué sitios se ven afectados?

Los sitios web que dependen de PHP son vulnerables, lo que significa que una buena parte de Internet también lo es.

Matthew Prince, director ejecutivo de CloudFlare, empresa que ayuda a los sitios web a proteger y gestionar el tráfico de internet, afirmó en una publicación en redes sociales el miércoles que la compañía "detectó miles de intentos de explotar" la vulnerabilidad en las horas previas a su anuncio público.

“Esa cifra se disparó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas y a millones ahora”, añadió el Sr. Prince.

Varios sitios web gubernamentales de Europa y Asia quedaron fuera de servicio como medida de precaución.

La agencia de ciberseguridad holandesa, Internet Archive y el operador de Wikipedia desconectaron varios de sus sistemas. En Gran Bretaña, la oficina del primer ministro anunció que algunos servicios gubernamentales podrían estar fuera de servicio el viernes.

El jueves por la mañana, el sitio web del gobierno de Finlandia mostró el siguiente mensaje a los usuarios: “Los sitios web del gobierno no están disponibles total o parcialmente. Estamos trabajando para solucionar el problema. Por favor, inténtelo de nuevo en un momento”.

La primera ministra de Japón, Sanae Takaichi, instó a los operadores cuyos sitios web utilizan PHP a aplicar el parche cuanto antes. Para quienes no puedan hacerlo de inmediato, escribió en redes sociales que suspender temporalmente los sitios web y otras medidas similares podrían ser efectivas para reducir el riesgo.

¿Deberían preocuparse los usuarios habituales de internet?

Debido a la omnipresencia de PHP, los daños colaterales podrían afectar a los usuarios comunes, cuyos datos personales y servicios en línea esenciales dependen de la seguridad de los sitios web. Los consumidores podrían experimentar interrupciones en línea en los próximos días con ciertos negocios o servicios gubernamentales.