Una vulnerabilidad crítica en PHP deja fuera de servicio webs de gobiernos europeos y de otros países

Varias webs gubernamentales de Europa y de otras regiones se desconectaron el miércoles tras la divulgación de vulnerabilidades críticas en PHP, uno de los lenguajes de programación más extendidos de internet. Según CNBC, los operadores de sitios web corrieron a proteger sus sistemas ante un riesgo que, por la ubicuidad de PHP, podría afectar a una enorme cantidad de servidores.

Los desarrolladores de PHP anunciaron el martes que habían identificado dos vulnerabilidades críticas y pidieron a los usuarios actualizar en cuanto se publicara la corrección. Hacia las 13:45 GMT del miércoles informaron de que ya estaba disponible una nueva versión que las corrige. Sin embargo, había informes de que atacantes ya explotaban los fallos para acceder a sitios web, y agencias públicas de los Países Bajos y Finlandia, entre otras, retiraron sus webs como medida de precaución antes de que existiera el parche.

Por qué es tan grave. PHP es un lenguaje gratuito, de código abierto y mantenido por voluntarios. Según W3Techs, funciona en aproximadamente el 75 % de los sitios web cuyo lenguaje puede identificarse, y es el motor de WordPress, que según el artículo impulsa cerca del 43 % de todas las webs. La firma de ciberseguridad Huntress señaló que PHP alimenta también Drupal, Joomla y Magento, plataformas de alojamiento compartido, paneles de control y mucho software que ni siquiera anuncia que usa PHP.

Respuesta de la industria. Dane Knecht, director de tecnología de Cloudflare, indicó que ya veían ataques incipientes y que la compañía actualizaba las reglas de su cortafuegos como medida provisional, insistiendo en que es solo un parche temporal y en que hay que actualizar PHP en cuanto salga la versión corregida. Wordfence, el complemento de seguridad para WordPress, advirtió de que las actualizaciones automáticas no aplicarían esta corrección y recomendó a los propietarios averiguar quién es responsable de actualizar PHP en sus sitios. Automattic, la empresa detrás de WordPress.com, dijo que no comenta detalles de incidentes de seguridad pero que su equipo trabaja con el equipo de seguridad de PHP para facilitar la actualización.

Agencias de ciberseguridad de Europa, Australia, Japón y Reino Unido instaron a los usuarios de PHP a actualizar de inmediato o a desconectar los sitios hasta poder aplicar los parches. Según funcionarios citados, podrían verse afectadas todas las versiones desde PHP 5 en adelante, aunque PHP aún no había precisado qué versiones son vulnerables.

El factor IA y el riesgo para webs pequeñas. Los expertos advierten de que, en lugar de atacar víctimas concretas, los atacantes pueden rastrear internet en busca de sistemas con versiones vulnerables. Lukasz Olejnik, investigador visitante senior del King's College London, afirmó que las campañas de hackeo asistido por IA, muy proliferadas en las últimas semanas, pueden amplificar la amenaza: "La escala es enorme, y con IA la explotación puede ocurrir al instante y a gran escala". El riesgo es especialmente alto para webs pequeñas gestionadas por particulares u organizaciones con pocos recursos, a menudo en alojamiento compartido donde los clientes no gestionan directamente los servidores, por lo que pueden tardar más en parchear y seguir expuestas mucho después de que haya corrección.

Apagones masivos. En los Países Bajos, el Centro Nacional de Ciberseguridad se desconectó él mismo por precaución, y le siguieron el Puerto de Róterdam, el portal gubernamental Overheid.nl, la federación de fútbol KNVB, las webs de los cinco mayores partidos políticos y varios hospitales. La empresa informática municipal danesa Kombit cerró varios servicios, entre ellos la plataforma nacional de comunicación escolar. En Finlandia la interrupción fue aún mayor: el proveedor estatal de TI Valtori dejó fuera de línea los servicios de red pública del gobierno. El Ministerio del Interior de Francia retiró temporalmente las webs administrativas de las administraciones locales a la espera de la corrección. La agencia estadounidense CISA no respondió a la solicitud de comentarios.

En resumen, el episodio ilustra lo frágil que resulta la dependencia de un componente de software omnipresente: la disponibilidad del parche no cierra el problema, pues muchas webs tardarán en aplicarlo. El artículo no detalla la naturaleza técnica de las vulnerabilidades ni sus identificadores, por lo que no es posible precisarlos aquí.