Empresas, agencias gubernamentales y hospitales de distintos países desconectaron sus páginas web después de que se revelaran dos fallas críticas de seguridad en PHP, el lenguaje de programación que da soporte a una parte sustancial de internet.
La Agencia de Seguridad Nacional de Estados Unidos (NSA) pidió aplicar parches de manera inmediata o desconectar los sistemas afectados, ante el riesgo de que los atacantes tomen control de servidores sin necesidad de contraseña.
Qué son las fallas de PHP y por qué preocupan a nivel global
PHP es la base de numerosas plataformas de diseño web utilizadas por tiendas en línea, medios de noticias y servicios gubernamentales en todo el mundo. Las dos vulnerabilidades detectadas permiten a un atacante acceder directamente al sistema de archivos o a la base de datos de un servidor, sin pasar por los controles habituales de autenticación.
La NSA explicó en un comunicado difundido en X que estas fallas “a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor”. Esa característica las vuelve especialmente peligrosas, ya que un atacante podría tomar control total del servidor sin necesidad de contraseña.
Debido al alcance de PHP como lenguaje base de internet, el riesgo no se limita a un sector específico. Tiendas electrónicas, portales gubernamentales, hospitales y medios digitales que dependen de este lenguaje quedaron expuestos de forma simultánea apenas se conoció el problema.
La propia fundación que sostiene el desarrollo del lenguaje, PHP Foundation, difundió una advertencia directa a los usuarios a través de una entrada de blog: “Si utiliza PHP, es imperativo actualizarlo de inmediato”.
Alemania activa alerta de ciberataques y pide actualizar de inmediato
En Alemania, la Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) emitió una alerta formal sobre el riesgo de ciberataques derivado de estas vulnerabilidades. El organismo instó, en un comunicado, “a los responsables de seguridad informática y a los operadores a que las instalen de inmediato” las actualizaciones correspondientes.
Thomas Caspers, vicepresidente de la BSI, advirtió sobre la velocidad con la que podrían producirse los ataques una vez que la información quedó expuesta. “Consideramos probable que se produzca un aprovechamiento a gran escala y a corto plazo, en las pocas horas siguientes a la publicación de las actualizaciones de seguridad”, señaló.
Esa urgencia llevó a que, según informó el diario Bild, el Hospital Universitario Charité de Berlín desconectara su página web como medida preventiva. El mismo medio alemán detalló que “numerosas administraciones públicas, universidades y hospitales retiraron el miércoles sus páginas web de la red como medida de precaución”.
Alemania figura entre los países con mayor exposición al cibercrimen potenciado por inteligencia artificial, lo que explica la rapidez con la que sus instituciones optaron por desconectar sistemas en lugar de esperar a completar las actualizaciones.
Japón, Países Bajos y otros gobiernos se suman a los llamados de alerta
La respuesta a las fallas de PHP no quedó circunscrita a Estados Unidos y Alemania. Administraciones de países como Japón y Países Bajos emitieron llamamientos similares a sus organizaciones para que aplicaran los parches disponibles sin demora.
Estas advertencias coordinadas entre distintos gobiernos reflejan la magnitud del problema: al tratarse de un lenguaje de programación utilizado de forma transversal en infraestructuras digitales públicas y privadas, una sola vulnerabilidad sin corregir puede dejar expuestos sistemas críticos en cualquier región del mundo.
Cómo se descubrieron las vulnerabilidades y por qué se filtraron antes de tiempo
Las fallas fueron reportadas en agosto por la firma de seguridad Calif y, de forma independiente y el mismo día, por OpenAI, la empresa creadora de ChatGPT. Posteriormente, Wiz, compañía de seguridad en la nube propiedad de Google, identificó formas adicionales de explotar esas debilidades.
En un primer momento, el hallazgo se comunicó de manera privada a los desarrolladores de PHP y se mantuvo bajo confidencialidad mientras se preparaba una corrección oficial. Ese procedimiento busca dar tiempo a los equipos técnicos para desarrollar un parche antes de que la vulnerabilidad se haga pública.
Sin embargo, los detalles de las fallas se filtraron en internet el martes, un día antes de la fecha prevista para su publicación oficial. Esa filtración anticipada desató una carrera contrarreloj entre organizaciones de todo el mundo para desconectar sitios vulnerables antes de que pudieran ser explotados.
El hallazgo se produjo en medio de un incremento sostenido de divulgaciones sobre seguridad de software, impulsado por modelos de inteligencia artificial cada vez más potentes capaces de detectar vulnerabilidades. De mantenerse la tendencia actual, el número de vulnerabilidades detectadas en 2026 podría duplicar el récord alcanzado el año anterior.
Fuente: Infobae — Ver noticia original