Dos fallas de seguridad críticas en PHP, el lenguaje de programación detrás de una porción enorme de los sitios que usamos a diario, obligaron a empresas, organismos públicos y hospitales de varios países a desconectar sus páginas web. La Agencia de Seguridad Nacional de Estados Unidos (NSA) recomendó instalar los parches sin demora o, en su defecto, sacar de línea los sistemas afectados: el riesgo es que un atacante tome el control de un servidor sin necesidad de contraseña.
Qué permite hacer el fallo
Las dos vulnerabilidades habilitan el ingreso directo al sistema de archivos o a la base de datos de un servidor, esquivando los controles de autenticación habituales. La NSA lo describió en un mensaje publicado en X: estas fallas “a menudo proporcionan una vía directa al sistema de archivos o a la base de datos del servidor”.
El problema no queda encerrado en un rubro. PHP sostiene plataformas de diseño web usadas por tiendas en línea, portales de noticias, servicios estatales y sistemas hospitalarios. Por eso, apenas se conoció el fallo, la exposición fue simultánea en sectores muy distintos.
La propia PHP Foundation, la entidad que impulsa el desarrollo del lenguaje, publicó una advertencia en su blog: “Si utiliza PHP, es imperativo actualizarlo de inmediato”.
Alemania, entre la alerta formal y las webs apagadas
La Oficina Federal de Seguridad en las Tecnologías de la Información (BSI) de Alemania emitió una alerta formal por el riesgo de ciberataques y pidió a los responsables de seguridad informática y a los operadores que instalen las actualizaciones de inmediato.
Su vicepresidente, Thomas Caspers, advirtió sobre la velocidad con la que puede llegar el ataque: “Consideramos probable que se produzca un aprovechamiento a gran escala y a corto plazo, en las pocas horas siguientes a la publicación de las actualizaciones de seguridad”.
Con ese panorama, el Hospital Universitario Charité de Berlín desconectó su página web como medida preventiva, según informó el diario Bild. El mismo medio consignó que “numerosas administraciones públicas, universidades y hospitales retiraron el miércoles sus páginas web de la red como medida de precaución”.
Otros gobiernos se suman al pedido
La reacción no se limitó a Estados Unidos y Alemania. Administraciones de Japón y Países Bajos, entre otras, llamaron a sus organizaciones a aplicar los parches disponibles sin demora. La coordinación entre gobiernos refleja la escala del asunto: al tratarse de un lenguaje transversal a infraestructuras públicas y privadas, una vulnerabilidad sin corregir puede dejar al descubierto sistemas críticos en cualquier parte del mundo.
Cómo salieron a la luz
Los reportes llegaron en agosto: la firma de seguridad Calif dio cuenta de las fallas y, el mismo día y de manera independiente, hizo lo propio OpenAI, la empresa creadora de ChatGPT. Más tarde, Wiz, compañía de seguridad en la nube propiedad de Google, también identificó el problema.
El episodio deja una lección práctica para cualquier organización que dependa de PHP: la ventana entre la publicación de un parche y su aprovechamiento malicioso puede medirse en horas, no en días.
