Mediante IA se detectó brecha en programa PHP, clave para construir los sitios
La primera ministra de Japón, Sanae Takaichi, pidió en X a los dueños de webs revisar si su sitio activo usa PHP y prepararse para aplicar la nueva corrección.
Este miércoles por la mañana, sitios clave de gobiernos, empresas y organizaciones fueron bajados debido a la detección de una brecha crítica de seguridad que podría poner en riesgo los datos de gobiernos y usuarios de todo el mundo.
En Países Bajos, la propia agencia de ciberseguridad fue desconectada y varias organizaciones siguieron su ejemplo, entre ellas el Puerto de Róterdam, el portal gubernamental Overheid.nl, la federación de fútbol KNVB, los cinco mayores partidos políticos y varios hospitales, según Reuters. En Finlandia, el proveedor estatal Valtori sacó de línea los servicios de red pública del gobierno; en Dinamarca, la empresa municipal Kombit suspendió la plataforma nacional de comunicación escolar, y el mnisterio del Interior de Francia puso todos sus sitios en mantenimiento preventivo. Wikipedia bajó parte de sus sistemas y, según NBC News, también se desconectaron los foros 4Chan y Something Awful, además de sitios japoneses de jardines infantiles y videojuegos.
La razón es la revelación de dos vulnerabilidades críticas en PHP, un lenguaje de programación nacido a comienzos de los años 90 que determina cómo los servidores web procesan el código. Está integrado en sitios hechos con WordPress, Drupal, Joomla y Magento, y según NBC News, citando al rastreador W3Techs, se usa en el 69% de todos los sitios web. Según el FBI, citado por AP, las fallas podrían permitir a actores maliciosos ejecutar código de forma remota y comprometer datos y redes sensibles.
«Todos los servidores que usen cualquier versión de PHP publicada en los últimos 20 años serán vulnerables», dijo a Reuters Tiffany Farriss, directora ejecutiva interina de la Drupal Association. «Este problema afecta a la mayor parte de internet». El lenguaje de programación PHP fue creado originalmente en 1994 por el programador Rasmus Lerdorf. Hoy en día, su desarrollo y mantenimiento están a cargo de una comunidad global conocida como The PHP Group, además de contar con miles de desarrolladores en todo el mundo que trabajan con él.
La falla fue descubierta usando inteligencia artificial por Wiz, empresa de ciberseguridad propiedad de Alphabet, que se apoyó en su herramienta Wiz Atlas y en modelos de Google y OpenAI. Según Reuters, las vulnerabilidades estuvieron ocultas más de una década en el código. De acuerdo con Wiz, habrían sido extraordinariamente complicadas de aprovechar para un hacker humano. «Antes de la IA, este trabajo manual habría sido difícil de implementar y aún más difícil de escalar», señaló la empresa. «Con IA, esto ya no es una barrera». OpenAI, por su parte, dijo haber liderado durante dos meses una coalición de investigadores y proveedores de seguridad para abordar el problema, informó AP.
El equipo de seguridad de PHP publicó los parches cerca de las 11:00 de Chile. En la respuesta participaron Google Cloud, Cloudflare, AWS, Microsoft y Akamai, entre otras, según Reuters.
La Casa Blanca, que fue informada el viernes, reaccionó: «Este descubrimiento demuestra exactamente por qué el liderazgo estadounidense en SI es tan crucial», usando el término que prefiere el presidente Donald Trump para la inteligencia artificial. Y agregó: «Esto es innovación estadounidense fortaleciendo nuestra seguridad nacional». La primera ministra de Japón, Sanae Takaichi, pidió en X a los dueños de sitios «revisar si su sitio activo usa PHP y prepararse para aplicar la nueva corrección».
OpenAI advirtió en su blog, citado por NBC News: «Demuestra cómo la IA puede descubrir fallas de seguridad con un impacto a escala de internet, pero esas mismas capacidades también pueden ayudar a los atacantes a desarrollar rápidamente herramientas ofensivas».
Ya hay señales de ataques. Como el parche es público y la IA permite reconstruir la falla con poco esfuerzo, los expertos esperan una ola de intrusiones, según Reuters. La plataforma Patchstack dijo haber recibido «reportes de explotación activa», y el director técnico de Cloudflare, Dane Knecht, escribió en X: «Estamos viendo ataques tempranos y estamos actualizando las mitigaciones a medida que aparecen nuevos vectores». Costin Raiu, de la firma «TLP: Black», dijo a Reuters que la IA impulsa una «carrera por explotar» la falla y anticipó el «compromiso masivo de todos los servidores web vulnerables en internet». En cambio, la agencia estadounidense CISA indicó que «no había observado explotación de estas vulnerabilidades al momento de la publicación».
La recomendación oficial es actualizar de inmediato o desconectar. CERT-EU, el organismo de ciberseguridad de la Unión Europea, señaló: «Las organizaciones deberían considerar aislar de las redes públicas las aplicaciones expuestas a internet hasta que haya una corrección disponible».
Los más expuestos son los sitios pequeños de personas u organizaciones con pocos recursos técnicos, alojados en hosting compartido, que podrían tardar más en parcharse, según Reuters. «La escala es enorme, y con IA la explotación puede ocurrir al instante y a gran escala», dijo Lukasz Olejnik, del Kings College de Londres.
