Una falla oculta por más de 20 años en PHP, el lenguaje con el que se construye el 70.2% de los sitios web cuyo lenguaje se conoce, fue detectada con herramientas de inteligencia artificial y desató una alerta internacional. El miércoles pasado, portales gubernamentales, hospitales y servicios digitales de varios países suspendieron operaciones como medida preventiva.
¿Qué es PHP? Es el lenguaje de programación que funciona “detrás” de muchas páginas web: procesa lo que pasa cuando alguien llena un formulario, compra en una tienda en línea o sube un documento a un portal de gobierno. Se usa en el 70.2% de los sitios web cuyo lenguaje se conoce, lo que lo convierte en una pieza básica de internet.
¿Qué pasó? El 21 de octubre, el equipo de seguridad de PHP publicó una actualización de emergencia para dos fallas críticas que permiten ejecutar código a distancia sin necesidad de autenticarse, ambas con una calificación de gravedad de 9.2 sobre 10. Están presentes en todas las versiones de PHP desde PHP 5. Lo llamativo es cómo se encontraron: OpenAI, Wiz y la startup de ciberseguridad Calif aseguran haber descubierto ambas vulnerabilidades mediante inteligencia artificial. Ante el riesgo, en países como Reino Unido y Bélgica se inhabilitaron temporalmente páginas gubernamentales y privadas, y en otros también se suspendieron servicios de hospitales y portales digitales como medida preventiva.
En entrevista, Luis Trejo, académico del Tecnológico de Monterrey, estimó que en México hay del orden de 100 mil servidores en riesgo y advirtió que la amenaza no distingue tamaño: alcanza desde corporativos y dependencias de gobierno hasta pymes y usuarios con sitios personales. Según datos de Milenio, de 39 mil 661 servicios con PHP detectados en el país, al menos 8 mil 600 usan una versión que ya no tiene parche disponible, uno de cada cinco. La cifra es un piso, porque muchos servidores no revelan su versión.
El ataque se activa al subir un archivo diseñado para agotar la memoria de PHP. No requiere usuario ni contraseña, solo que el servidor acepte archivos, como viene configurado de fábrica. Trejo señaló que esto abre la puerta a extraer bases de datos, vender información en la dark web o inyectar ransomware, y que los atacantes usarán IA para rastrear servidores vulnerables de forma masiva.
El equipo de PHP liberó los parches el mismo miércoles, pero a diferencia de Windows, no se instalan solos: actualizar depende de cada administrador. Víctor Ruiz, fundador de la firma de ciberseguridad SILIKN, anticipó que los próximos días podrían ser caóticos.